تطوير الويب هذا الأسبوع: أمان التشغيل، 29 أكتوبر 2026

تتصدر أدوات TypeScript الأسرع العناوين الجذابة لتطوير الويب في أسبوع 29 أكتوبر 2026، لكنها لا تستحق أن تتصدر قائمة مهامك. الأولوية لأمان بيئات التشغيل، واستعادة عمليات النشر، والتحقق من الشهادات.

تحديثات بيئات التشغيل واستعادة Railway أولى من تجربة الأدوات

تعالج إصدارات PHP لشهر أكتوبر ثغرات قد تسمح بتنفيذ التعليمات البرمجية عن بُعد دون مصادقة. كذلك أصلح Node.js خللاً في مكوّن فك ضغط Brotli يمكن استغلاله عبر بيانات مضغوطة يرسلها مهاجم. راجع تنبيه PHP الأمني وتنبيه Node.js الأمني للتحقق من الإصدارات المنشورة لديك وطريقة تعامل تطبيقاتك مع البيانات.

في Node.js، يرتبط الخطر بفك ضغط بيانات يرسلها مهاجم، وليس بمجرد تشغيل Server للويب. وتحتاج التطبيقات التي تقبل رفع ملفات مضغوطة أو تعالج بيانات مضغوطة من مصادر خارجية إلى اهتمام خاص، وفقاً لـالوصف الرسمي للثغرة.

توصي تعليمات Railway باستبدال قيم متغيرات البيئة المخزنة وبيانات اعتماد سجلات الحزم الخاصة. وتوصي أيضاً بتجديد بيانات اعتماد النشر، وإعادة نشر التعديلات المحفوظة (commits) التي لم تُنشر خلال فترة تعليق النشر.

tsrs لا تزال تجريبية؛ وVite+ يتطلب تفعيل إعدادات فحص الأنواع صراحةً

قدّمت Cloudflare وVoidZero أداة tsrs في 20 أكتوبر. وهي نسخة تجريبية من TypeScript أُعيدت كتابتها بلغة Rust بالتعاون مع فريق TypeScript. وبشكل منفصل، تشرح وثائق الفحص الساكن في Vite+ سير عمل موحداً للفحص، يعتمد فيه فحص TypeScript على الإعدادات.

• لا تزال tsrs تجريبية. اختبرها خارج فحوص الإنتاج الإلزامية قبل التفكير في استخدامها بديلاً.
• يتطلب فحص TypeScript في Vite+ تفعيل كل من lint.options.typeAware وlint.options.typeCheck.
• تفعّل أدوات إنشاء المشاريع وترحيلها في Vite+ هذين الخيارين افتراضياً، وفقاً للوثائق.

راجع الفحوص التي تعتمد عليها حالياً قبل محاولة تسريعها. إذا نجح مسار التنفيذ الآلي من دون أن يفحص الأنواع أصلاً، فهناك نقص في تغطية الفحوص.

شغّل المُصرّف (compiler) التجريبي على المراجعة نفسها من المستودع التي تفحصها أداتك الحالية. قارن رسائل الأخطاء والتحذيرات قبل مقارنة زمن التنفيذ. لا يقدم إعلان tsrs قياسات تبيّن مقدار التسريع الذي ستحصل عليه مع قاعدة شيفرتك.

Next.js 16.4.3 يعالج عيوب التتبّع وتحميل الخطوط

صدر Next.js 16.4.3 في 23 أكتوبر، وهو إصدار صيانة يركّز على إصلاحات محددة:

• تبقى أجزاء تتبّع الطلب الواحد في OpenTelemetry مترابطة.
• تُعالَج عناوين URL لخطوط Google التي لا تتضمن امتداداً بصورة صحيحة.
• يشمل إصلاح الخطوط أداتَي تجميع الحزم.

إذا كان فريقك يعتمد على التتبّع الموزّع (Distributed Tracing) للتحقيق في بطء الطلبات، فاختبر طلباً يمثّل الاستخدام الفعلي بعد الترقية. نجاح استجابة الصفحة وحده لا يثبت ترابط بيانات التتبّع الخاصة بها بصورة صحيحة.

ولفحص تحميل الخطوط، استخدم صفحة متأثرة للتأكد من عدم عودة الخلل. تحدد ملاحظات الإصدار العيب في معالجة عناوين URL؛ فتأكد من تحميل الخطوط المطلوبة في بيئتك المنشورة.

يمكن تأجيل دوال CSS المخصصة؛ أما الصفحات القابلة للطباعة فيمكن إطلاقها الآن

ظهرت دوال CSS المخصصة ضمن نقاش مقترحات Interop 2027، بينما أعاد نقاش حول CSS للطباعة في 26 أكتوبر الاهتمام إلى إمكانات متاحة بالفعل.

تصنّف وثائق MDN الدوال المخصصة بأنها تجريبية وخارج Baseline: أي إنها لم تصل بعد إلى مستوى التوافر الواسع عبر المتصفحات. تدعم صياغتها تمرير المعاملات وإرجاع القيم عبر result. ووجود مقترح ضمن Interop لا يعني أن دعم الميزة جاهز للإنتاج.

إذا كنت تعمل على فاتورة لعميل أو مقالة مساعدة أو تقرير، فأعطِ جودة الطباعة الأولوية على اعتماد الدوال المخصصة. يغطي دليل الطباعة من MDN إخفاء عناصر التنقل، وتعديل أنماط الطباعة، والتحكم في تخطيط الصفحات.

اختبر مستنداً واحداً يحتاج المستخدمون إلى حفظه أو طباعته. تحقّق مما إذا كانت عناصر التنقل تشغل مساحة، أو يُقتطع جزء من المحتوى، أو تجعل هوامش الصفحات القراءة صعبة.

تغييرات Let's Encrypt في نوفمبر تستحق اختباراً في البيئة التجريبية الآن

بدأت Let's Encrypt استخدام ستة مواقع تحقق خارجية في البيئة التجريبية يوم 27 أكتوبر. وعند تطبيق التغيير في بيئة الإنتاج، المقرر في 10 نوفمبر، سيصبح عدد طلبات التحقق سبعة، بما فيها طلب الموقع الأساسي.

أضف هذا الموعد إلى جدول النشر إذا كان تطبيقك يهيّئ النطاقات أو يعتمد على التجديد التلقائي للشهادات.

• التغيير في البيئة التجريبية: 27 أكتوبر.
• التغيير المقرر في بيئة الإنتاج: 10 نوفمبر.
• عدد طلبات التحقق المقرر في بيئة الإنتاج: سبعة، بما فيها طلب الموقع الأساسي.

إذا كانت نقطة نهاية التحقق لديك تخضع لقيود جغرافية أو قواعد جدار حماية أو أي تصفية أخرى للطلبات، فاختبر هذه القيود في البيئة التجريبية قبل توسيع التحقق في بيئة الإنتاج.

سجّل نتيجة كل إعداد مختلف للتحقق. نجاح الاختبار لإعداد نطاق واحد لا يشمل إعداداً آخر يستخدم توجيهاً مختلفاً أو ضوابط وصول مختلفة.

ما يستحق المتابعة

• أدلة توافق tsrs: ابحث عن نتائج من مستودعات فعلية تقارن رسائل الأخطاء والتحذيرات وزمن التنفيذ؛ فما زال الإعلان يصفها بأنها تجربة.
• قرارات التوافق بين المتصفحات في CSS: تابع ما إذا كانت الدوال المخصصة ستتجاوز مرحلة نقاش مقترحات Interop قبل تغيير سياسة دعم المتصفحات لديك.
• الاستعداد للتحقق من الشهادات: أكمل اختبارات البيئة التجريبية قبل موعد تطبيق تغيير Let's Encrypt المقرر في 10 نوفمبر.

ما الذي ينبغي فعله الآن؟

1. احصر إصدارات PHP وNode.js في حاويات الإنتاج العاملة، ثم قارنها بالإصدارات المصححة المذكورة أعلاه. أعد بناء الصور المتأثرة ونشرها.
2. إذا كنت تستخدم Railway، فأكمل تعليمات استعادة بيانات الاعتماد، وقارن التعديل الذي يعمل فعلياً بالتعديل الذي كنت تنوي نشره.
3. في مستودع يستخدم Vite+، تأكد من تفعيل كل من lint.options.typeAware وlint.options.typeCheck قبل الاعتماد على أداة الفحص الموحدة للتحقق من TypeScript.
4. إذا كنت تشغّل تطبيق Next.js متأثراً، فاختبر 16.4.3 باستخدام طلب واحد مع تفعيل التتبّع، وصفحة واحدة تستخدم عناوين URL لخطوط Google التي يشملها الإصلاح.
5. أجرِ تحققاً في البيئة التجريبية لـLet's Encrypt لكل إعداد مختلف للتوجيه أو التحكم في الوصول قبل 10 نوفمبر.

مصادر مفيدة

• أرشيف إصدارات PHP والتنبيهات الأمنية - إصدارات PHP المصححة ومعلومات الثغرات.
• إصدارات Node.js الأمنية لشهر أكتوبر - تفاصيل ثغرة Brotli والإصدارات المصححة.
• تعليمات استعادة Railway - استبدال بيانات الاعتماد واستعادة عمليات النشر.
• وثائق الفحص الساكن في Vite+ - متطلبات تفعيل فحص TypeScript.
• إعلان Let's Encrypt حول التحقق - تغييرات البيئة التجريبية وخطة تطبيقها في بيئة الإنتاج.

ماذا يعني ذلك لك؟

أمّن بيئة التشغيل، واستعد عمليات نشر يمكنك الوثوق بها، ثم حسّن دورة التطوير. خصّص تجربة محدودة للأدوات التجريبية، لكن أدرج إصلاحات الإنتاج واختبارات التحقق ضمن قائمة المهام، مع تحديد المسؤول عن كل مهمة ومعايير التأكد من اكتمالها.