開発者データ ツールキット — 質問

ToolAcre アップロードはそれを受け取りません。すべての変換、ハッシュ、デコード、差分はブラウザーで行われます。サイト全体の分析は、構成された正規実稼働ホストに限定され、プライバシー ポリシーで開示されます。貼り付けられた値、トークン、URL、およびファイルの内容は、ToolAcre 独自の分析イベントから除外されます。

いいえ。ツールキットは、localStorage、sessionStorage、IndexedDB、Cookie には何も書き込みません。ページをリロードすると、入力した内容がすべてクリアされます。タブを閉じても同様です。アカウント システムがないため、サインアップする必要も削除する必要もありません。

はい、そのとおりです。テキストはエンコード前に UTF-8 bytes に変換され、厳密なデコーダーでデコードし直されるため、絵文字、CJK、アラビア語、結合マーク、ZWJ シーケンスはすべてバイトごとに往復処理されます。これはブラウザの組み込み btoa() が間違っていることです。一部の文字ではスローし、他の文字では不正なバイトを暗黙的に生成します。

エンジンのエラー メッセージを読み取るのではなく、独自のスキャナーを使用します。ブラウザーの JSON エラー テキストはエンジン固有であり、現在の V8 では一部のエラーの位置が完全に省略されます。スキャナーはドキュメントを調べ、有効な JSON ではない最初のオフセットを、人間のために書かれた理由 (末尾のコンマ、一重引用符で囲まれた文字列、終了していない文字列) に加えて、問題のある行とキャレットとともに報告します。

標準の YAML 1.2 構造。JSON 形式のデータ (文字列、数値、ブール値、null、シーケンス、マッピング) のみを生成できる制限付きスキーマで読み取られます。任意のオブジェクトを構築するタグは拒否されます。 JSON スキーマ (最も厳密) とコア スキーマ (~ および空の値も null、16 進整数、.inf / .nan に解決されます) のどちらかを選択できます。

!!js/function、!!python/object/apply、!!binary、!!timestamp などのカスタム タグまたは言語固有のタグを使用するためです。これらを構築するように構成されたローダーは、任意のオブジェクト コンストラクターです。これは、いくつかの言語ではリモート コード実行のバグの一種です。このツールは、例外を作るのではなく、仕様によってそれらを拒否します。

これらはブラウザー独自の Web Crypto 実装によって計算され、テスト スイートは公開されたベクトルに対してそれらをチェックします。「abc」の SHA-256 は ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad です。 SHA-1、SHA-384、および SHA-512 ベクトルは、空の文字列ダイジェストとともにチェックされます。

そうですから。実際の衝突は 2017 (SHAttered) で公開され、選択プレフィックス衝突 (署名と証明書を破壊するバリアント) は 2020 で利用できるようになりました。これは、git オブジェクト ID やレガシー API 署名などの既存の SHA-1 値を再現できるように含まれていますが、これに依存することとは異なります。

crypto.randomUUID() または crypto.getRandomValues() から (randomUUID が使用できない場合)。どちらもブラウザの暗号的に安全なジェネレーターです。 Math.random() は決して使用されません。その内部状態は出力の短期間の実行から復元できるため、そこから構築されるものはすべて予測可能になります。安全なソースが存在しない場合、ツールは静かにダウングレードするのではなく、生成を拒否します。

いいえ。ヘッダーとペイロードをデコードし、それらが主張している内容を示します。署名はチェックされないため、トークンが本物であること、変更されていないこと、またはその名前が誰によって発行されたものであることを証明するものは何もありません。検証には、発行者のキーとピン留めされたアルゴリズムが必要です。これらは、Web ページではなく、トークンを信頼するシステムに属します。

ここでも、他の場所でも、できるし、すべきではありません。ライブ トークンは資格情報です。有効期限が切れるまでは、それを保持している人が自分として行動できます。このページはローカルでデコードされ、何も送信されませんが、これはどのサイトでも一目で確認できない主張であるため、安全な習慣は期限切れであるか、テスト トークンです。すでにどこかに貼り付けている場合は、それを回転させます。

これは、単純な行ごとの比較ではなく、最小限の追加と削除のセットを提供する最長共通部分シーケンス編集スクリプトを計算します。同一の先頭行と末尾行が最初にトリミングされるため、1 か所が異なる 2 つの大きなファイルを高速に比較できます。

LCS アルゴリズムには、2 つの長さの積に比例する時間とメモリが必要です。数千の異なる行を超えると、ブラウザ タブが割り当てを試みるべきではないため、ツールは明確に拒否し、より小さい領域を比較することを提案します。コンテンツの大部分を共有するファイルは最初にトリミングされ、合計サイズに関係なく高速に動作します。

これは文書化されたヒューリスティックであり、沈黙することはありません。 10^11 以上はミリ秒として扱われます。10^11 秒は 5138 年であり、10^11 ミリ秒は 1973 であるためです。実際に使用される単位は常に結果とともに表示され、上書きすることができます。

ページが読み込まれると、はい、何もネットワークを必要としません。 Service Worker がないため、初期ロードには引き続き接続が必要です。

はい。レイアウトは 320 CSS ピクセルから上に機能し、フォーム テキストは 16px であるため、モバイル Safari はフォーカスにズームせず、コントロールは 44 ピクセルのタッチ ターゲットの最小値を満たします。エディターと出力はそれぞれのボックス内でスクロールするため、縮小された JSON の長い行によってページが広がることはありません。

いいえ、パネルはそう言っています。これは、エディター自身の出力の許可リストです。固定リストの外にある要素と属性は削除され、リストされない限り属性が存続しないためイベント ハンドラーは存続できません。また、http、https、mailto、tel、ftp、および相対リンクのみが保持されます。これにより、このエディターが出力する内容を、制御するページに安全に貼り付けることができます。これは汎用の XSS フィルターではなく、HTML5 パーサーではなく文字列トークナイザーであるため、原理的には敵対的なペイロードはブラウザーによって別の方法で解析される可能性があります。プレビューは許可スクリプトのないサンドボックス化された iframe であるため、そこでは何も実行できません。

特殊ビットが設定されているが、一致する実行ビットが設定されていないためです。 4755 は rwsr-xr-x で、実行可能な setuid プログラムです。 4644 は rwSr--r-- であり、誰も実行できない setuid ファイルであり、これはほとんどの場合間違いです。大文字は、そのビットには何も作用しないことをシステムが示しており、そこに小文字の s が表示されている計算機は、確認する必要がある 1 つのことを隠していることになります。

いいえ。引用符対応トークナイザーを使用して文字列を分割し、部分を読み取ります。コードベースのどこにも eval、シェル、子プロセスはありません。バックティック、$(...)、およびセミコロンはリテラル文字のままです。変換できないフラグは、ドロップされるのではなく、目に見える警告で名前が付けられます。元のコマンドよりも少ない処理を黙って行う構成ファイルは、このツールが生成する可能性のある最悪のものであるためです。

通常、タイムゾーンは、cron が実行されているマシンのゾーンを使用し、プレビューは選択したゾーンを使用するため、サーバーのゾーンに設定します。もう 1 つの原因として考えられるのは、日ルールです。日と曜日の両方が設定されている場合、どちらかが一致すると cron が実行され、ほとんどの人が予想するよりも頻繁に起動されます。これに該当する場合、ジェネレーターは警告を発します。

現在の構成では広告は無効になっています。サイト全体の分析は、構成された正規実稼働ホスト上でのみ実行され、プライバシー ポリシーで開示されます。貼り付けられた値、トークン、URL、およびファイルの内容は、ToolAcre 独自の分析イベントから除外されます。