Node.jsが11月11日に脆弱性修正版、Vercel Security Reviewがベータほか — Web Dev Digest: 2026‑11‑04
Top 20
Wednesday, November 11, 2026 Security Releases（2026年11月11日（水）のセキュリティリリース予告）
Source: Node.js Blog | Published: 2026-11-04 08:00 JST
- Node.js プロジェクトは 26.x・24.x・22.x の 3 系統の新版を 2026年11月11日（水）かその直後に公開すると予告した
- 修正される問題の最高深刻度は、3 系統のいずれも HIGH と明記された
- 告知本文に個別の CVE 番号や脆弱性の内容は記載されていない
- End-of-Life 版はセキュリティリリースのたびに常に影響を受けるとし、サポート中の版の利用を求めている
- 前回のセキュリティリリースは 2026年10月21日で、続報は nodejs-sec メーリングリストで告知される
Vercel Security Review now in public beta（Vercel Security Review がパブリックベータに）
Source: Vercel Changelog | Published: 2026-11-04 05:00 JST
- Vercel は Pro / Enterprise チーム向けに Security Review を public beta で公開し、接続済み GitHub リポジトリへの push ごとに脆弱性を自動レビューするようにした
- PR ではなく push イベントを起点にするため、本番ブランチへの direct push と force push も対象になる
- 検出結果には project・環境・branch・commit・要約・修正案・AI 生成の深刻度が記録され、PR があればレビューコメントにも投稿される
- 「Fix with Vercel Agent」で修正 PR を作成でき、承認するまで merge されない。CLI の
vercel security vulnerabilitiesは 65.10.0 以降が必要になる - 料金は推論の原価に 100 万トークンあたり $0.25 を加えた額で、レビューは 2026年11月10日まで無料。ソースコード解析のみで runtime テストや侵入テストは行わない
The Internals of PostgreSQL（PostgreSQL の内部構造）
Source: Hacker News | Published: 2026-11-04 06:51 JST
- 2015年9月26日公開の解説サイトが HN で 362 ポイントを集め、現在は PostgreSQL 19 beta までを対象に更新が続いていると分かった
- 対象は 19-beta とそれ以前の版で、新しい buffer page lock の仕組みだけは対象外と明記されている
- 2026年は 5月1日に第12章 Logical Replication（Beta）、6月28日に 8.5 節 Asynchronous I/O が追加された
- 2026年5月23日の全章リファクタで 4,890 語（5.6%）を削り、9月28日には 12.7.3 節 Parallel Apply Worker Mode を書き直した
- HN の投稿は 2026年11月4日だが新規公開ではなく、変更履歴の最新は 2026年10月6日の 10.3 節と 10.4 節の統合である
AWS Config now supports 10 new resource types（AWS Config が 10 種類の新リソースタイプに対応）
Source: AWS What’s New | Published: 2026-11-04 01:00 JST
- AWS Config は記録対象に 10 種類のリソースタイプを追加し、ElastiCache や QuickSight まで監査範囲を広げた
- 全リソースタイプの記録を有効にしていれば、追加分は設定変更なしで自動的に追跡される
- 追加分は Config rules と Config aggregators でも利用できる
- 追加されたのは
AWS::ElastiCache::CacheCluster、AWS::ElastiCache::ReplicationGroup、AWS::QuickSight::Agent、AWS::Billing::BillingView、AWS::Oam::Linkなど - ほかに
AWS::Connect::HoursOfOperation、AWS::MediaLive::SignalMap、AWS::MPA::IdentitySourceと Notifications 系 2 種が含まれ、各リソースが提供される全リージョンで使える
Amazon WorkSpaces for AI agents now supports Linux and Windows 11 cloud desktops（Amazon WorkSpaces for AI agents が Linux と Windows 11 のクラウドデスクトップに対応）
Source: AWS What’s New | Published: 2026-11-04 03:00 JST
- WorkSpaces for AI agents は Windows Server に加えて Linux と Windows 11 のクラウドデスクトップに対応し、エージェントごとに OS を選べるようになった
- Linux デスクトップではエージェントに OS の root 権限を与え、ビルド・テスト・スクリプト実行を任せられる
- Windows 11 デスクトップでは、社内で日常的に使う業務アプリケーションをエージェントが操作できる
- ネットワーク分離、IAM ベースのアクセス、コンプライアンス境界は Windows Server デスクトップと同じものが適用される
- 既存の作業環境へ再プラットフォームなしで載せられる点を利点に挙げ、手順は AppStream 2.0 の開発者ガイドで案内している
Next Unreal Engine release will add web platform support（次期 Unreal Engine が Web プラットフォームに対応へ）
Source: Hacker News | Published: 2026-11-04 02:52 JST
- Unreal Engine 公式 X アカウントは 2026年11月3日、5.9 を翌週に Preview として出し、Web をターゲットプラットフォームに加えると発表した
- 5.9 には AI ワークフローの改善と、レンダリング・アニメーションの更新も含まれる
- GitHub の 5.9 ブランチでは変更が進んでおり、数日のうちにさらに入ると説明している
- 投稿は「詳細は近日公開」で結ばれ、Web 対応の実行方式や対応ブラウザには触れていない
- 投稿の表示回数は 36.9 万回で、返信には実行中のゲームを AI エージェントから確認したいという要望も付いた
Britecharts v3 Released: Accessible D3 Charts for JavaScript and React（Britecharts v3 リリース: JavaScript と React 向けのアクセシブルな D3 チャート）
Source: Hacker News | Published: 2026-11-04 23:45 JST
- Britecharts 3.0 が 2026年11月2日付で公開され、全データチャートにスクリーンリーダー向けの非表示テーブルが付くようになった
- bar・donut・line・treemap など 9 種はキーボード操作が既定で、1 つのタブストップ内を矢印キーと Home / End で移動する
- 色は
--bc-*の CSS カスタムプロパティで変更でき、exportChart()で SVG / PNG を出力できる - 新しい treemap、100% 積み上げの
isNormalized(true)、heatmap のxAxisLabelsが追加された @britecharts/core・wrappers・reactの 3 パッケージへ分割して D3 v7 を採用し、v2 は 2.18.2 で打ち切られた
【脆弱性ラッシュ】PHP2Shell・Brotli(HTTP2Shell)・Node・Chrome・Goが同時に来た週に、サーバーの「放置」が露呈した話
Source: Qiita | Published: 2026-11-04 16:28 JST
- Ubuntu Server 4 台を棚卸しすると php7.4-fpm・Node 18・Go 1.22.4 が稼働しており、7.4 と 18 には修正版がなくパッチではなく移行が必要になったと報告している
- PHP2Shell（CVE-2026-109618 / CVE-2026-109619）は CVSS v4.0 で 9.2、修正版は PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 である
- Brotli の CVE-2026-111497 は 1.0.3〜1.2.0 が対象で、修正版は 1.0.10 / 1.1.1 / 1.2.1。PowerShell と .NET にも波及した
- php8.3-fpm と node21 が入っていても移行が進まず古い側が動いていたため、
ps auxやgo version -mで実行中の版を確認している - 教訓として unattended-upgrades・Renovate・Dependabot による定期更新、endoflife.date での期限確認、SBOM での同梱ライブラリ追跡を挙げた
Vercel CI no longer requires a linked Vercel project（Vercel CI が Vercel プロジェクトとの連携なしで使えるように）
Source: Vercel Changelog | Published: 2026-11-04 03:00 JST
- Vercel CI は Vercel プロジェクトのない GitHub リポジトリでも動くようになり、接続のためだけに空プロジェクトを作る必要がなくなった
- リポジトリのクローン上で
vercel ci enableを実行すると、CLI に設定中のチームで CI が有効になる - 別チームを使う場合は
--scope <team>を渡し、次の push からリポジトリの設定どおりタスクが走る - 前提は Vercel GitHub App のインストール、GitHub と Vercel のアカウント連携、リポジトリの write または admin 権限である
- 対象は private の GitHub リポジトリのみで、public リポジトリと他の Git プロバイダーは未対応となっている
「Google Chrome 157」安定版リリース、Android版でオンデバイスの言語判定が可能に
Source: GIGAZINE | Published: 2026-11-04 11:45 JST
- Google Chrome 157 の安定版がリリースされ、Android 版で Language Detector API によるオンデバイスの言語判定が使えるようになった
- CSS の
cornerプロパティでborder-radiusとcorner-shapeを 1 宣言にまとめられ、corner-top-leftなどの個別指定も追加された text-overflowに任意の文字列を指定でき、text-overflow: "(続く)"のように省略部分の表示を変えられるtext-decoration-insetで下線・上線・取り消し線の長さを開始側と終了側で別々に調整できる- Sanitizer API に
javascriptURLsオプションが入り、Background Fetch API には通常の Fetch と同じ CORS 制限が適用される
Goの関数をTypeScriptからimportする【Content Mapper実用編】
Source: Zenn | Published: 2026-11-04 00:51 JST
- TypeScript 7.1.0-beta の Content Mapper と Vite プラグインで Go の関数を直接 import でき、生成コードをコミットせずに Go の変更が TypeScript の型エラーになる構成を実現した
- 型は Content Mapper、ブラウザ実行は TinyGo の Wasm、サーバーは通常の Go import という 3 経路で 1 つの
checkout.goを共有している - Wasm は標準 Go の Brotli 915KB に対し TinyGo（
-opt=z）は 278KB で、約 70% 減った - TinyGo では
reflectのNumIn()が panic し、time.Sleepを含む関数の同期呼び出しは undefined を返したほか、再ビルドに約 13 秒かかった - 実装は mapper 73 行、Vite プラグイン 166 行で、Go の nil スライスに合わせて
[]LineItemをLineItem[] | nullに変換する
なぜNodeの重い計算は worker_threads・子プロセス・別サービスで置き場所が変わるのか
Source: Qiita | Published: 2026-11-04 03:59 JST
- 3 秒の計算 2 件でヘルスチェックが 6 秒待たされた事例から、置き場所の軸は速さではなく落ちたときに何が一緒に止まるかだと結論づけている
- 迷ったら worker_threads のプールから始め、ネイティブコードが落ちうるなら子プロセス、数十秒を超えるなら別サービスを選ぶとした
- Node 24 の起動中央値は worker が約 14ms、子プロセスが約 29ms だった
- 20 万件の配列の往復は worker の約 170ms に対し子プロセス（JSON）が約 85ms で、structured clone のコピーが効くため
ArrayBufferの transfer を勧めている - 2 vCPU / 1GiB で wasm ソルバを同時 2 件流すと、1 本は 13.2 秒、2 本は 7.75 秒で、2 本を採用した
oxlint 1.85とESLint 10を3,000ファイルで実測比較した結果
Source: Zenn | Published: 2026-11-04 07:54 JST
- 3,000 ファイル・216,000 行で oxlint 1.85.0 は 113.2ms、ESLint 10.11.0 は 7,315.0ms を記録し、oxlint が 64.6 倍速かった
- 既定設定の oxlint は correctness カテゴリだけが有効で、
no-empty・no-explicit-any・no-varを検出せず 15,000 件対 24,000 件の差が出た - correctness は warning 扱いで終了コードが 0 になるため、
-D correctnessか--deny-warningsを付けないと CI が止まらない - ESLint の
--cacheは 1,451.7ms まで縮めたが、なお 12.8 倍の差が残った @oxlint/migrateは 85 ルールを生成し、no-dupe-argsとno-octalは未対応として報告した
【2026.11現在】PHP脆弱性から学ぶNext.jsのセキュリティ対策
Source: Zenn | Published: 2026-11-04 09:00 JST
- php2shell は処理系そのものの不具合で穴はアプリの外側にあるとし、Next.js では認可を middleware の一段に置かずデータを読むサーバー側へ置くべきだと結論づけている
- PHP の修正版は 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 で、更新後に配信中のワーカーを再起動する必要があり、CISA は 2026-10-26 に悪用確認の一覧へ追加した
- CVE-2026-64642 は App Router・Turbopack・
i18n.localesが 1 つの条件で middleware / Proxy の認可を経由しない - 2026-07 の Next.js セキュリティリリースの修正入りは 16.2.11 と 15.5.21 で、CPU 枯渇、SSRF、fetch のキャッシュ取り違えなどを塞いでいる
- Vercel や Cloudflare の WAF ルールは既知パターンを減らす措置で、パッチ完了の扱いにしてはならないと注意している
シフト表の自動作成を、貪欲法とシード固定の局所探索で作る
Source: Zenn | Published: 2026-11-04 09:00 JST
- 条件を「必ず守る」と「できるだけ守る」に分け、貪欲法と悪化しない変更だけを採用する局所探索で、ブラウザ内で動く勤務表の生成を実現した
- 希望休や連勤などは
canAssignで割り当て自体を禁じ、配置基準の不足はコストにして警告で知らせる - コストの重みは配置不足 100、勤務日数のずれ 3000、パート上限使用率 60 で、使用率を 2 乗して負担を均している
Math.random()を使わずシード固定の mulberry32 にして、同じ入力から同じ表が出るため E2E テストが容易になった- 生成とは別の 16 ルールで検証し、
planCostの全体再計算と局所解から抜けにくい点を課題に挙げた
STEP ファイルをブラウザで読む：平面・円筒など解析曲面だけに絞った自前パーサ（TypeScript）
Source: Qiita | Published: 2026-11-04 09:01 JST
- OpenCASCADE 級の数十 MB を避けるため、平面・円筒・円錐・トーラスだけを読む STEP パーサを TypeScript で自作し、読めない面は種類と数を利用者へ返す設計にした
DATA;以降をセミコロンで分割してMap<番号, 本体文字列>に集め、括弧の途中で改行される行単位の正規表現の失敗を避けている- 板金・切削プレートと旋盤部品の大半は平面と円筒で構成されると判断し、B-スプラインなどの自由曲面は対象外とした
- 辺は
LINEとCIRCLEだけを読み、ORIENTED_EDGE末尾の.T./.F.で始点と終点を入れ替え、両端の距離が 1e-7 未満なら全周とする - 同じ
CYLINDRICAL_SURFACEを持つ穴の内面と軸の外周は、ADVANCED_FACEのsame_senseで区別している
cacheComponents: true にしたら出たエラー12件 — 1件ずつしか見えないエラーを全部潰した記録
Source: Zenn | Published: 2026-11-04 09:45 JST
- Next 15.5.28 から 16.4.4 への移行で出たエラーは 12 件と警告 1 件で、大半は同型の削除作業であり判断が必要なのは数件だと判明した
- フラグの前に
revalidateTagの単一引数が TS2554 で 3 件落ち、暫定の"max"は旧形と等価ではないと注意している - 有効化直後は
dynamic・fetchCache・revalidateの設定エラーが 4 ファイルで 6 件出て、対処はすべて削除だった - 残る 3 件は
/dealsのnew Date()、/accountのcookies()、/searchのsearchParamsで、1 件ずつしか出ず行番号も示されない - 統制比較ではビルド短縮の主因は Turbopack の既定化（約 13 秒）で、Cache Components 自体はビルドを 1.5〜4.3 秒遅くした
WKWebView で開いた SNS の「本人が押した移動」と「サイトが勝手に移した移動」を見分ける：SPA では navigationType が来ない
Source: Qiita | Published: 2026-11-04 10:23 JST
- SPA 内の移動は
onShouldStartLoadWithRequestを通らずnavigationTypeでは判定できないため、ページ側で拾った操作時刻から 8 秒以内なら本人の移動と判定するようにした pointerdown・touchstart・keydownを capture かつ passive で拾い、ブリッジの混雑を避けるため送信は 0.5 秒に 1 回までにしている- 窓は当初 2.5 秒だったが、m.youtube.com と m.facebook.com では通信待ちで間に合わず 8 秒へ広げた
- ログイン画面を出て 30 秒以内で以後の操作がない移動は入口への置き換えとし、往復を防ぐため 1 回のログインで 1 度に限った
- ページからの知らせは nonce と送信元ホストで検証しており、時刻の窓による判定なので完全には分けられないと認めている
「接続が足りません」と出たら：Supabaseで原因の見分け方から再発防止まで
Source: Qiita | Published: 2026-11-04 12:52 JST
- Supabase で接続が足りないときプールを上げて効くのは待ちが原因の場合だけで、CPU を使うクエリでは処理数が落ち p95 も悪化すると実測で判明した
- プール 15 から 30 で
pg_sleep(0.1)は 154 回/秒から約 300 回/秒へ倍増し、CPU クエリは 48〜51 回/秒から 38〜44 回/秒へ減った max_connectionsが満杯だとpostgresロールでもログインできず、成功したのはsupabase_adminだけだったpg_terminate_backendでアイドル接続 51 本を 12 ミリ秒で切ると、その 3 ミリ秒後に通常の接続が通った- クライアント上限 200 はロールごとで、2 ロールに分けると 300 本すべてが成功し、プールサイズの変更は再起動なしで効いた
AlloyDB Express: Instant, scale-to-zero PostgreSQL for developers and coding agents（AlloyDB Express: 開発者とコーディングエージェント向けの即時起動・ゼロスケール PostgreSQL）
Source: Google Cloud Blog | Published: 2026-11-04 23:00 JST
- Google Cloud は AlloyDB Express を preview で公開し、PostgreSQL データベースを 2 秒未満で作成して 15 分の無操作で自動停止できるようにした
- 作成手段は gcloud CLI・REST API・MCP・Terraform・Console で、次のクエリが来ると数秒で再開する
- 料金は稼働中 $0.115/CU 時（秒課金）、停止中 $0.00、ストレージ $0.30/GB 月で、毎月 50 CU の無料枠がある
- pgvector HNSW と ScaNN のベクトル検索、SQL から Gemini を呼ぶ
ai.if・ai.rank・ai.generateが組み込まれている - 本番時はワンクリックで AlloyDB へ移行でき、データ・スキーマ・ユーザー・接続文字列を維持したまま HA と read replica を追加できる
All Articles
Zenn
| # | Title | Summary | Author | Published |
|---|---|---|---|---|
| 1 | web-ifc 13 バージョンを同じ IFC で比べた検証ログ（0.0.50〜0.0.78） | web-ifc 0.0.78 はブラウザの IfcAPI.StreamMeshes が BindingError になると 13 版の比較で判明した | @grok_prtex | 00:21 |
| 2 | アカウント1つで70+モデルを選べる、OSSのデスクトップAIアシスタント AnyModelBot を作った | MIT の AnyModelBot v0.1.21 は 1 アカウントで Claude・GPT・Grok など 70 以上のモデルを切り替えられる | @anymodelbot | 01:33 |
| 3 | 復元エラーの後も元データは残るか：JavaScriptの8入力で確かめる | 先に既存データを空にすると JSON 解析失敗時に元の 2 件が消えると、人工データの 8 入力で確認した | @kissa_hitotoki | 02:21 |
| 4 | position-stickyを活用したスクロール追従レイアウトの設計と実装 | position: sticky の設定で固定レイアウトを組み、複数端末で追従と表示崩れの有無を確かめる手順を示した | @my_agent_works | 03:16 |
| 5 | シフト自動作成を3方式で作り直して分かった、貪欲法が破り続けていたルール | 貪欲法は不足 0 の表を出しつつ最短勤務時間を全シナリオで破っており、LLM・貪欲法を経て MIP ソルバへ移行した | @playpark | 03:59 |
| 6 | Cookieとは何か | Cookie は名前と値に送信先や保存期間の属性を持ち、条件に合う通信へブラウザが自動で付けて送ると整理した | @shinb0 | 04:52 |
| 7 | 破局Homelab：なぜ家庭に厳格なSRE本番運用体系が必要なのか？【可用性目標・RPO・RTOの数理実証】 | 家庭用 Homelab に Google SRE の規律を導入し、30W の省電力で RPO 1 秒未満を目標にする設計を論じた | @ubinity | 06:16 |
| 8 | Kiro の新しい無料トライアル！知っておきたい 8 のこと | Kiro の個人向け無料トライアルが 2026年11月1日に変わり、500 クレジット追加となった点と注意 8 項目を挙げた | @yosse95ai | 06:30 |
| 9 | EC2 インスタンスタイプの選び方：M シリーズを基準に要件から考える | EC2 の c7i.2xlarge 形式の読み方から、M シリーズを基準に要件へ合わせてタイプを選ぶ方法を示した | @kitanon | 07:30 |
| 10 | AIの定期実行プロンプトを正規表現15本で点検する：外部通信ゼロの指示書チェッカーの作り方 | 定期実行 AI の起動文に必要な 15 項目を正規表現だけで判定する、外部通信ゼロの単一 HTML ツールを作った | @ichiro_ai90 | 07:30 |
| 11 | 不可視の Unicode タグ文字に仕込まれた指示を、日本語の文字列と日本のサイトで試した | 不可視の Unicode タグ文字は ASCII しか隠せず日本語は空文字になり、日本の 10 サイト中 2 サイトで canvas 読み出しが見えた | @mystery_hat | 08:00 |
| 12 | セキュリティ、どこまでやれば十分？ ― 3 分チェックから SCS ★3、最初の 90 日まで | 自社のセキュリティ水準を Lv0〜Lv4 で測り、SCS ★3 と最初の 90 日のロードマップまで扱う本が公開された | @rkawajiri | 08:42 |
| 13 | UI のスキルを 5 つ同じ条件で比べたら、案外スキルなしが良かった | Claude Code 向け UI スキル 5 種とスキルなしで LP を各 3 回比べ、首位は UI UX Pro Max、2・3 回目の次点はスキルなしだった | @akaringo1109 | 09:00 |
| 14 | YouTube API の uploadLimitExceeded は24時間10本で出た。非公開の固定はなし | YouTube API は 1 万ユニットのクォータとは別に、直近 24 時間 10 本の次で uploadLimitExceeded になった | @ai_hacchu | 09:00 |
| 15 | CSPとセキュリティヘッダー：中高生に説明するつもりで書く技術・セキュリティ | CSP は読み込むスクリプトを制限する指示で、まず観察し動作確認してから制限を有効にすると文化祭の例で説明した | @kotanpolin | 09:05 |
| 16 | Claude Codeに任せたDockerfileを、後から自分で読み直す ー Dockerの基礎 | Vercel から AWS への移行で Claude Code が書いた 4 段マルチステージ Dockerfile を、各段の役割から読み直した | @nagi_dev | 09:07 |
| 17 | 見出しの読めない明細 PDF で、どの数字が残高かを決める 4 段の順番。数字の個数・符号・x・残高の差（pdf.js・外部送信ゼロ） | 見出しの読めない明細 PDF で残高列を決めるため、数字の個数・符号・x 座標・残高の差の 4 段で判定している | @sora_proj | 09:11 |
| 18 | Supabase × Claude Code 本番運用の教科書 | Supabase の RLS と列権限、許可・拒否の試験を学ぶ全 9 章の無料 β 版で、DB 単体 38 項目を確認済みとしている | @shingokumon | 09:15 |
| 19 | 【１日１デプロイ】重さ×距離で揺れを整える「ユラッ！秋風モビール」を作った | 重さと中心からの距離で横棒を水平にする物理パズル「ユラッ！秋風モビール」を 3 つのモビールで公開した | @boraemon2000 | 09:23 |
| 20 | ずんだもんと学ぶセキュリティ：入門編 | ずんだもんと四国めたんの対話で、架空 EC の AWS 環境を題材に IAM から検知対応まで守る側を一周する教材が公開された | @bonobono | 10:19 |
| 21 | ずんだもんと学ぶセキュリティ：実践編 | 実践編はマルチアカウント、脅威モデリング、サプライチェーン、WAF を Trivy・cosign・Conftest の実例で扱う | @bonobono | 10:19 |
| 22 | ずんだもんと学ぶWeb技術 | URL と HTTP から三層構造、Cookie、認証、CDN までを Python 標準ライブラリと curl だけで学ぶ教材が公開された | @bonobono | 10:19 |
| 23 | note の公開記事9本の題名を一括で短くした — 元の題名を残し、タグ数と見出し数で照合する手順 | note の公開記事 9 本の題名を 12〜21 字へ短くし、元題名と変更前 7 日閲覧数を残して効果を判定できるようにした | @zeroyen_dev | 10:31 |
| 24 | D3-edgeでLLMを自動選択してみた：vLLM Semantic RouterをAWSで検証 | D3-edge の 4B / 8B 振り分けは 36 件すべて期待どおりで、平均応答は 8B 固定の 11.69 秒に対し 11.19 秒だった | @tatsuyaaaaaaa | 10:43 |
| 25 | ISUCON2026で126,634点でした | ISUCON2026 で 2 人チーム「熱帯魚同好会」が Claude Code と Codex を使い 126,634 点を記録した | @o8n | 10:46 |
| 26 | Astroのpublicに.htaccessを置かず、環境別のビルド先へ生成する | 同じソースから本番とサブフォルダの確認版を作るため、.htaccess を public に置かず環境別のビルド先へ生成した | @nadarakainc | 10:52 |
| 27 | 【個人開発SaaS】Edge Functionsの「オープンメールリレー」と「cron認証バイパス」を塞いだ話 | Supabase Edge Functions で JWT Gateway を過信して生じたオープンメールリレーと cron 認証バイパスを塞いだ | @taski_app | 11:18 |
| 28 | Aurora DSQLはAurora PostgreSQLと何が違うのか、設計前に押さえる制約 | Aurora DSQL は外部キーや SERIAL、拡張機能が使えず、SELECT 後の UPDATE がコミット時にエラーになり得ると整理した | @techdbblog | 12:01 |
| 29 | Claude 向けに作ったメルマガ生成 AI を、さくらの AI Engine（gpt-oss）に載せ替えて本番に出すまで | Claude 前提のメルマガ生成 AI をさくらの AI Engine へ移し、OpenAI 互換 API と JSON スキーマで 5 回中 5 回成功させた | @newsletterready | 12:07 |
| 30 | 35日でフロントエンドの基礎を完全に理解する #29 - フロントエンドの認証（トークンの置き場・Cookie属性・OIDC） | トークンの置き場をメモリ・localStorage・クッキーの 3 択で比べ、HttpOnly や SameSite の効果を実測した | @kipcop | 12:22 |
| 31 | Amazon Linux 2023 でカーネルをアップデートしたときに保持されるバージョン数について調べてみた | Amazon Linux 2023 のカーネルは dnf.conf の installonly_limit=3 で既定 3 つ保持され、超えると古い順に消える | @sena0627 | 13:00 |
| 32 | Claude CodeとCodexにSupabaseのメモアプリを12回作らせたら、RLSは毎回かかっていた。分かれたのは『だれが読めるか』 | Claude Code と Codex に 12 回作らせたメモアプリは RLS が 12 回とも有効で、差が出たのは読める人の範囲だった | @bpr_prot | 14:19 |
| 33 | iframe の sandbox で WebKit だけ入力イベントが0件になり、打った文字が保存されなかった | WebKit だけ sandbox の iframe で入力イベントが 0 件になり保存漏れが発生、allow-scripts と CSP で解消した | @container_cms | 14:52 |
| 34 | ブラウザだけでフォントを変換する方法 (TTF, OTF, WOFF2) アップロード不要 | OpenFile は WebAssembly と Web Worker で TTF・OTF・WOFF2 をアップロードなしで変換できる MIT のツール集である | @aniruddhaadak | 15:04 |
| 35 | Next.js＋Vercel＋SupabaseでWebアプリを開発してみた | バックエンド技術者が日程調整と割り勘の Planly を Next.js・Vercel・Supabase で作り、環境構築からデプロイまで書いた | @taro_memo | 15:38 |
| 36 | 公開UIから考えるサムネイルの背景・枠レイヤー設計 | サムネイルの背景と枠を独立して復元・比較できる編集レイヤーとして捉え、公開 UI の観察から責務分割を考察した | @thumbsai | 16:08 |
| 37 | サーバーを持たずに、複数の Gmail を静かに通知する Chrome 拡張を作った | 複数 Gmail の通知拡張 Peekat Email はメールを自サーバーに通さず、ワンタイムコードの誤検出防止と控えめ通知を既定にした | @felixlyu | 16:57 |
| 38 | ブラウザだけで動く360以上のファイルツール「OpenFile」を作りました | OpenFile は PDF・画像・動画など 360 以上のツールを登録不要・透かしなし・回数制限なしでブラウザ内実行する | @aniruddhaadak | 17:08 |
| 39 | Google Meetのチャットをニコ動風にWebページへ流すChrome拡張を作った | 社内発表でチャットを見に行く手間を減らすため、Meet のコメントを Web ページ上へ流す拡張 Meet Flow を作った | @sunyeul89 | 17:29 |
| 40 | toLocaleString の timeZone を省くと、ローカルでは絶対に見えない。Vercel でだけ9時間ずれる | toLocaleString の timeZone を省くと JST の開発機では正しく見え、Vercel 上でだけ 9 時間ずれると実例で示した | @matsutake_prgrm | 18:00 |
| 41 | AIのUI崩壊対策に最新のCSS記法を使わせよう | AI に古い padding-top: 56.25% でなく aspect-ratio や position-anchor、@layer を使わせれば UI 崩れを防げると主張した | @luma | 18:13 |
| 42 | 画面を実況するAI相棒、デス数を8回中4回しか数えられず、速い検知だけLLMから切り離した | 配信画面を実況する AI がデス数を 8 回中 4 回しか数えられず、速い検知をローカルの画素照合へ切り離した | @hoshiorange | 18:26 |
| 43 | NFCカードで打刻する端末を、Androidで作り直した | NFC 打刻端末を Android で作り直し、puppeteer をやめて直接 HTTP で打刻、認証情報は KMS 暗号化にした | @runyan_tang | 18:39 |
| 44 | ECS + RDS → Lambda + Aurora DSQL の移行で社内アプリのインフラ費用がほぼゼロになった話 | 固定費は月約 $208.26 から月数セントへ減り、VPC エンドポイントだけで月 $61.32 を占めていたと明かした | @fukuoka_wogo | 19:00 |
| 45 | XSSしか知らなかった人間が、SRIでCDNの改ざんを止めてみた | CDN のスクリプトに integrity 属性（sha384）を付けると改ざん時にブラウザが読み込みを止めると手元で確かめた | @muuuuuuuuuuu | 19:00 |
| 46 | Vercel Hobby プランで商用利用はできる？ — Next.js+Supabase 構成の判断基準 | Vercel Hobby の商用利用は規約上不可で、使用量でなく目的で判定され、Stripe やアフィリエイトの実装時点で該当すると説明した | @joemike | 20:25 |
| 47 | getImageData() の範囲外のピクセルは透明な黒になる | getImageData() の矩形がキャンバス外へ出ると該当部分は取り除かれず透明な黒で返ると 2×1 の canvas で示した | @morphio | 20:37 |
| 48 | DeepSeek Harnessのagent loopは本当に差し替え可能か、patchで壊してみた | disabled: true と insert で差し替えられ約 70 行の最小 Agent が完走した一方、実 LLM での検証は未実施である | @mskbhd | 20:46 |
| 49 | Strands Decider 2Bを同じ231問でJevと比べた: 72.3%対86.2% | Strands Decider 2B は JevBench 231 問で 72.3% と Jev の 86.2% に届かず、「同等」は成り立たなかった | @mskbhd | 20:46 |
| 50 | メンテ6分で本番サーバー交換 — rsync2回でセッションごと移す切替手順 | AL2 から AL2023 へ本番 EC サイトを交換し、rsync 2 回と 3 段階スクリプトでメンテ約 6 分、ログインも維持した | @pythona | 20:54 |
| 51 | 娘とのクイズ遊びをアプリにしたら、日本語の奥深さを体感した話 | クイズを作るアプリを娘との遊びから開発し、5〜10 月で 307 コミット、114 PR の経緯を時系列で残した | @tomipetit | 21:21 |
| 52 | AWS学習用シミュレーター開発記録：CloudFormationでREST APIとLambdaをつなぐ | 非公式 AWS シミュレーター TenkaCloud で CloudFormation から REST API・Lambda・SSM を一括作成できるようにした | @bull | 21:31 |
| 53 | ブラウザでONNXを動かす：OCR・AI背景除去を含む46個のツールを「完全ローカル処理」で作った | MoxiKit は ONNX で OCR と背景除去を含む 46 ツールをブラウザ内で動かし、ファイルを送らない構成を公開した | @moxikit | 22:17 |
| 54 | Claude の利用上限はどこから読めるか：使用量 API、SSE の message_limit、StreamTimeline のフレーム | claude.ai の 5 時間と週間の上限値が使用量 API や SSE の message_limit に載る場所を DevTools で確かめた | @msadofschi | 22:32 |
| 55 | Editorはもう古い。新ロールへ安全に移る768試行 | GCP の新基本ロール Admin・Writer・Reader へ名前だけ置換すると閲覧範囲が広がるため、影響 55 か所を検出するスクリプトを作った | @ccie26302 | 23:13 |
| 56 | ローカルファースト同期でハマった話【おうちストック開発日記 #3】 | Pull を先に行い version と updatedAt の Last Write Wins で競合を処理、世帯切り替え時はローカルを消してから Pull する | @koffeeex | 23:47 |
| 57 | UUID v7 を1000件まとめて作って sort したら、981件が生成順と違う位置に動いた。同じミリ秒の中は乱数で並ぶ | UUID v7 を 1000 件 sort すると 981 件が生成順と違う位置へ動き、同一ミリ秒内は乱数順になると判明した | @hashitoz | 23:52 |
Qiita
| # | Title | Summary | Author | Published |
|---|---|---|---|---|
| 1 | GPT-5.6 SolとClaude Opus 4.8でCSVインポートツールを一度書いて使い回す実測 | GPT-5.6 Sol と Claude Opus 4.8 の初版はどちらも入力と同じ出力先で CSV 原本を上書きし、修訂版で 23 種を通した | @whitemarshall | 00:54 |
| 2 | ドルアーガの塔の迷路を再現して、実機画面と照合してみた | ドルアーガの塔の 60 フロア迷路を JavaScript で再現し、実機画面と全マス照合して一致を確認した | @kumi0708 | 02:11 |
| 3 | Request/Responseだけで作る練習フォーム：入力検証とHTML出力を分ける | Web 標準の Request と Response だけで練習フォームを作り、入力検証と HTML 出力の境界を Node.js v24.15.0 で確かめた | @cnvxstudio | 05:46 |
| 4 | 30分ごとの稼働確認は、無人実行が4回続けて何もしなかった丸1日を一度も欠けとして出さなかった。予定の起動を1つずつ数えると、8日間の24回のうち完走は17回だった | 30 分ごとの稼働確認は無人実行 4 連続の失敗を検知できず、予定起動を数えると 8 日 24 回中完走は 17 回だった | @AUTOMOS | 07:25 |
| 5 | Intl.NumberFormatでFXレートの表示桁をそろえる：元の数値を保持する実装 | Intl.NumberFormat で FX レートを小数 3 桁へそろえ、元の数値を保持して表示文字列だけ分ける実装を示した | @kaigaifxizumi | 07:37 |
| 6 | Bridg-It（Gale のゲーム）— 盤は全域木 2 本に「辺が 1 本足りない」。Lehman の定理をペブルゲームで判定し、全グラフの minimax で確かめた | Bridg-It をブラウザ実装し、勝敗を Lehman の定理と (2,2) ペブルゲームで判定、5×6 盤でも一瞬で終わるとした | @sen-ltd | 09:02 |
| 7 | 2026年11月4日 今日のQiitaトレンド記事をポッドキャストで聴こう！ | 2026年11月4日の Qiita トレンド記事を AI ポッドキャスト化し、毎朝 7 時に更新している | @ennagara128 | 10:30 |
| 8 | PDF.js をデモから深掘り 3: getPage メソッドの全体像 | PDF.js の getPage は 1 始まりのページ番号を受け、PDFPageProxy へ resolve する Promise を返すと追った | @LanceVance | 10:46 |
| 9 | AWSもAzureもGoogle Cloudも触ることになったが、クラウドごとのセキュリティ設定をどう揃えればいいか分からないエンジニアへ。4大クラウドを横断して設計と運用を見渡せる一冊 | 『マルチクラウドセキュリティの教科書』は AWS・Azure・Google Cloud・OCI を同じ枠組みで横断すると書評した | @yasu1109 | 10:47 |
| 10 | kintoneの参照先をたどる処理をJavaScriptでテストする｜循環参照・共通の参照先・深さ上限 | kintone のアプリ間参照の循環を、処理予定の ID を Set に記録して再訪を防ぐ探索で解決し JS でテストした | @kintaco | 11:08 |
| 11 | 【30分点検】Supabaseで作ったアプリのデータが外から読めないか、5か所で確かめる手順 | UpGuard 調査で 1 万 6,326 件の DB の表が外から読めたことを受け、Supabase の点検箇所 5 つを 30 分手順にした | @bpr_prot | 11:25 |
| 12 | Aurora DSQLの接続・SQL・コミットでつまずく4点 | Aurora DSQL では IAM 権限不足が password authentication failed で返るなど、接続・SQL・コミットの 4 点でつまずくとした | @techdbblog | 12:00 |
| 13 | Apache DorisをAWS Graviton5で検証：最大78%高速化 | Apache Doris の 194 クエリで Graviton5 の M9g は M7i より 18〜78% 速く、191 本で高速化した | @VeloDB_IO | 12:09 |
| 14 | useActionStateは入力値も残してくれるか。通常のフォームstateと9条件で比較する | useActionState は入力値を保持せず、検証エラーを返すだけで uncontrolled input が空になると 9 条件で確かめた | @hiro123 | 12:34 |
| 15 | お天気アプリ＃３２ | お天気アプリ学習記録 #32 で、OAuth の役割と !! が値を boolean 化する理由を写経しながら学んだ | @langhuanamacha | 13:08 |
| 16 | #208 コード上の依存関係を潰さず、推測を混ぜずに残す | 依存関係の正本 JSON をどの粒度と種類で残すかを Todo アプリで検討し、抽出処理の契約を先に決めた | @nxted_sapporo | 13:44 |
| 17 | 人前でどのようにコードレビューをするべきか | IT 未経験の独学者が人前でのコードレビューに備え、AI 出力の教材で練習して進め方をまとめた | @rio-taro117 | 14:50 |
| 18 | 画像の出力名は最後の拡張子だけを置き換える | scan.final.heic のようなファイル名は split の先頭でなく最後のドットで分け、JPEG 名を作る関数を示した | @morphio | 16:17 |
| 19 | Zodで安全にAPIレスポンスとフォームを検証する入門ガイド | Zod のスキーマと parse で API レスポンスとフォーム入力を実行時に検証する基本を、コード例で示した | @felix-jp-studio | 16:49 |
| 20 | AIの集計レポートはあったけど、CloudWatch ダッシュボードを整理した話 | 回数メトリクスの平均で全線が 1 に張り付き、disk_used_percent は tmpfs 混入で 6.9% と出ていた（実際は 35%）ため修正した | @Tukirukiki | 17:18 |
| 21 | 【初心者向け】Cloudflare Pagesで静的HTMLを公開して、独自ドメインのサブドメインまで設定する全手順 | 静的 HTML を Cloudflare Pages へ直接アップロードし、サブドメイン bio.310techlab.com の設定まで無料プランで完了した | @satouyoshiaki | 17:26 |
| 22 | 【2026年11月版】Amazon Bedrockの安価なLLMを19個、RAGで徹底比較してみた（Nova 2 Lite / Claude Haiku 4.5 / gpt-oss / Qwen3 / DeepSeek など） | Bedrock の安価な 19 モデルを計 2,280 回採点し、DeepSeek V3.2 と Haiku 4.5 が全問正解、Nova 2 Lite は誤り 13 件で最多だった | @MURAMASA2470 | 17:53 |
| 23 | 【AWS初心者向け】EC2のIAMロールをAWS CLIで確認する｜インスタンスプロファイルとの違い | EC2 のロールは instance-profile 経由で紐づくため、CLI で EC2→プロファイル→ロールの順に確認する手順を示した | @reo_infraengineer | 20:10 |
| 24 | 【インシデント対策】CloudWatchアラームの通知からAmazon Q Developerではメンションが付かないのでLambdaで付けて障害に気づける確率を上げた | Amazon Q Developer の通知にメンションが付かないため、Lambda で Slack メンションを付けて障害検知率を上げた | @Tukirukiki | 20:28 |
| 25 | Kling V4.0とCloudflare Workersで構築する「COLORS」風AIデュエット動画生成システム：音画完全同期と2人物差し替えパイプライン | Kling V4.0 と Cloudflare Workers で COLORS 風デュエット動画を生成するパイプラインを、2 人物差し替えまで構築した | @TechZeel | 20:30 |
| 26 | 三日坊主の原因は、意志の弱さじゃなかった。途切れても「おかえり」と言う庭を作った | 途切れても「おかえり」と迎える習慣アプリ Habits Garden を Workers で公開し、押すだけの記録にした | @ayasaka | 20:36 |
| 27 | AI駆動開発の次の段階: ソフトウェアファクトリー | Felix Rieseberg の記事に刺激を受け、アプリ自作をやめてアプリを作る仕組みのソフトウェアファクトリーへ移った | @Syoitu | 20:38 |
| 28 | SPA 向けユーザースクリプトの実装パターン：Toy Car To Real Car 補助スクリプトを例に | SPA 向けユーザースクリプトで @match 限定、外部通信なし、セレクタ不在時は何もしない方針を実装例で示した | @toycartorealcar | 20:45 |
| 29 | 「ランダムで」と頼んだ店員が、同じことばかり言う――素のJavaScriptでセリフの連続重複を避ける | 乱数は直前のセリフを覚えないため、前回の文を候補から外す条件を素の JavaScript で足して連続重複を防いだ | @after6labo | 21:48 |
| 30 | AWS Cloud Practitionerを1週間で取得した話 | AWS Cloud Practitioner（CLF-C02）に約 1 週間の学習で合格し、報奨金目当ての受験と勉強法を振り返った | @taka-sho01 | 21:56 |
| 31 | 【Angular】markForCheck って何？detectChanges との違いと使い分け | markForCheck() は祖先まで印を付けるだけで描画せず、detectChanges() は自分のビューをその場で検知するが祖先には印を付けない | @nakamuuu_ow | 22:02 |
| 32 | 第24回 Terraform講座｜Localsで「同じ値」をきれいに管理する | Terraform の Locals で Project タグなどの共通値をまとめ、Variable との違いを第 24 回講座で説明した | @nyarusasu22 | 22:08 |
| 33 | AWS環境でデバイスフロー攻撃をされたらどうなるか、調べてみた | OAuth デバイスフロー攻撃が AWS IAM Identity Center の CLI ログインでも無関係でないと RFC 8628 から整理した | @yama3133 | 22:29 |
| 34 | 「アップロードしない」は本当か？ Networkタブとオフラインで検証しながら、ブラウザ完結のファイル処理を実装したメモ | 「アップロードしない」は DevTools の Network と Offline で検証でき、FormData の中身まで見れば判定できると示した | @moxikit | 22:54 |
| 35 | AWS SAAに10日間の勉強で合格した話 | AWS SAA に 10 日間の勉強で合格し、暗記では解けず条件に合うサービス選択が問われたと振り返った | @taka-sho01 | 23:10 |
| 36 | ZENITH Codeディープ解析③ 政策保有株から取引関係の地図を作る――保有先の数・売り切った保有先・持ち合いを競合で並べる | トヨタ・デンソー・ホンダなど 5 社の 2026 年 3 月期政策保有株を並べ、保有先数や売り切り、持ち合いを ZENITH Code で読んだ | @Sohei-Taniguchi-CG | 23:32 |
Publickey
2026-11-04 付の記事はありませんでした。
gihyo.jp
2026-11-04 付の記事はありませんでした。
GIGAZINE
| # | Title | Summary | Published |
|---|---|---|---|
| 1 | OpenAIがGitで超大規模リポジトリを運用するためのバックエンド「Pando」を開発 | OpenAI は Git バックエンド Pando でプッシュ遅延を約 80% 削減し、1 日約 1PB を配信、Rust で 10 週間で本番稼働させた | 13:31 |
ITmedia News
2026-11-04 付の記事はありませんでした。
TypeScript Blog
2026-11-04 付の記事はありませんでした。
Node.js Blog
対象日の該当記事はすべて Top 20 に掲載されています。
Astro Blog
2026-11-04 付の記事はありませんでした。
Cloudflare Blog
| # | Title | Summary | Published |
|---|---|---|---|
| 1 | See the agents, set the terms: new visibility and control for personal agents（エージェントを把握し、条件を定める: パーソナルエージェントの新しい可視化と制御） | Security Analytics に Personal Assistants 分類と専用ウィジェットを追加し、エージェント別の経路や応答を確認できるようにした | 23:00 |
Vercel Changelog
対象日の該当記事はすべて Top 20 に掲載されています。
AWS What’s New
| # | Title | Summary | Published |
|---|---|---|---|
| 1 | Amazon Connect Customer prefills the email address for new threads started from cases（Amazon Connect Customer がケースから始める新規スレッドでメールアドレスを自動入力） | Amazon Connect の Cases で顧客プロファイルからアドレスを自動入力し、新規メールスレッド開始時の手入力を不要にした | 02:00 |
| 2 | Amazon Connect Customer lets agents pause and resume emails（Amazon Connect Customer でエージェントがメールを一時停止・再開可能に） | Amazon Connect のエージェントが承認待ちのメールを一時停止して通話など優先度の高い応対へ移り、後で再開できるようにした | 05:15 |
| 3 | New features for Amazon EC2 Capacity Manager（Amazon EC2 Capacity Manager の新機能） | インスタンスタイプと AZ の対応度を起動や予約なしでスコア化するリアルタイム確認と容量充足メトリクスを追加した | 16:00 |
Google Cloud Blog
| # | Title | Summary | Published |
|---|---|---|---|
| 1 | Unify operational and Lakehouse data with direct Iceberg access in AlloyDB for PostgreSQL（AlloyDB for PostgreSQL の Iceberg 直接アクセスで運用データと Lakehouse データを統合） | Cloud Storage 上の Iceberg 表を直接読み運用データと SQL で結合する機能が preview、AlloyDB sync は GA になった | 23:00 |
Supabase Blog
2026-11-04 付の記事はありませんでした。
web.dev
2026-11-04 付の記事はありませんでした。
Mozilla Hacks
2026-11-04 付の記事はありませんでした。
CSS-Tricks
2026-11-04 付の記事はありませんでした。
Smashing Magazine
2026-11-04 付の記事はありませんでした。
Hacker News
| # | Title | Summary | Published |
|---|---|---|---|
| 1 | Show HN: CleanSlop – Find what breaks in AI-generated TypeScript/Node web apps（AI 生成の TypeScript / Node Web アプリの壊れる箇所を見つける CleanSlop） | コードを読み公開前に直すべき順で指摘するスキャナで、月 1 回無料、GitHub サインインまたはエージェントから使える | 00:59 |
| 2 | LLMjacking: The AWS, Google Cloud and Azure settings that cap stolen AI keys（LLMjacking: 盗まれた AI キーの被害を抑える AWS・Google Cloud・Azure の設定） | GTIG 報告では被害は 1 日 10 万ドル超、最大 100 万ドルで、予算アラートでは止まらず TPM クォータが有効と整理した | 01:00 |
| 3 | Show HN: 8 years of “Who’s Hiring?” in charts (hiring boom, bust, and AI trends)（「Who’s Hiring?」の 8 年分をチャート化（採用の好況・不況と AI の動向）） | 48,468 件の求人投稿を分析し、投稿数は 2021 年比 66% 減、2026 年は半数に AI が登場すると示した | 01:07 |
| 4 | Cloudflare Workers and Pages suffering build errors（Cloudflare Workers と Pages でビルドエラーが発生） | 2026年11月3日 14:46〜19:38 UTC に発生し解決済みの Workers Builds 障害で、失敗分は Retry か再 push で復旧できた | 01:45 |
| 5 | Lens – read-only health checks for SQL Server and Postgres also as an MCP server（SQL Server と Postgres の読み取り専用ヘルスチェック Lens、MCP サーバーとしても動作） | v0.8 は 26 ルールと記録用 8 ルールで診断し、A〜F 評価の HTML / JSON レポートを手元に出力する | 02:06 |
| 6 | ZeBridge – PostgreSQL replicas on devices, synchronized over NATS（ZeBridge: NATS で同期するデバイス上の PostgreSQL レプリカ） | 端末にローカル DB を置きオフライン中の書き込みを保持、再接続時に NATS で同期して PostgreSQL が最終判定を返す | 02:11 |
| 7 | Can the Cloudflare employee that just blocked Route53 Health Checks undo it（Route53 ヘルスチェックをブロックした Cloudflare 社員は元に戻せますか） | 投稿者の呼びかけに Cloudflare の Dane 氏が反応して解決したと追記され、別の利用者も同じ症状を報告した | 02:14 |
| 8 | Does your application need local data or faster Postgres?（アプリに必要なのはローカルデータか、より速い Postgres か） | ClickHouse は同期層を足す前に、NVMe の中央 Postgres へ直接問い合わせ read replica で拡張する構成を勧めた | 02:31 |
| 9 | Show HN: Local in-browser privacy-redact for pdf and images using WASM（WASM を使ったブラウザ内完結の PDF・画像プライバシー墨消し） | privacy-redact はテキスト、画像、PDF の個人情報を OCR と顔・バーコード検出で隠し、アップロードせず処理する | 02:52 |
| 10 | Show HN: Replacing Turn-Based LLM Agents with SQLite and System One Models（ターン制 LLM エージェントを SQLite と System One モデルで置き換える） | unified-brain は xz の 74 点ベンチで 93.2% と Claude Fable 5.1 に並び、費用 1/20、3.5 倍速と主張した | 02:58 |
| 11 | Show HN: Who can publish to your NPM dependencies?（npm 依存関係へ公開できるのは誰か） | lockfile をブラウザ内で読み、依存へ publish できる全員と、購入可能なメールドメインなど乗っ取りリスクを示す | 02:58 |
| 12 | Show HN: Vanilla-web skill to replace all JavaScript frameworks（すべての JavaScript フレームワークを置き換える vanilla-web スキル） | フレームワーク・バンドラ・サーバーロジックなしの HTML / CSS / JS 規約を、5 つの調査エージェントの出典付きでまとめた | 03:01 |
| 13 | Getting hit with “Prove you are a human” at every other website（どのサイトでも「人間であることを証明」を求められる） | 84 ポイント・46 コメントの議論で、投稿者は Cloudflare が 50〜60%、アニメ少女の画面が 10〜20% のページを遮ると訴えた | 03:22 |
| 14 | 278M PII detection model bests OpenAI, AWS and Microsoft（278M の PII 検出モデルが OpenAI・AWS・Microsoft を上回る） | Protegrity-PII は PII-SCOPE で再現率 0.910、適合率 0.902、100 万字あたり 0.49 秒と報告した（初版は 10 月 21 日） | 04:02 |
| 15 | Show HN: Home Poker Ledger – settle a poker game, one HTML file, no server（Home Poker Ledger: HTML 1 ファイル、サーバーなしのポーカー精算） | バイインとキャッシュアウトから最少回数の送金を計算し、チップ差額の負担方法を 3 通りから選べる | 04:10 |
| 16 | SurrealDB 4 and SurrealDB Earth: A serverless database built on Cloudflare（SurrealDB 4 と SurrealDB Earth: Cloudflare 上のサーバーレスデータベース） | インスタンスごとに分離され作成約 500ms、コールドスタート約 300ms でゼロまで縮小できると公表した | 04:57 |
| 17 | Show HN: Mallard: Git for the age of AI agents（Mallard: AI エージェント時代の Git） | リンク先は読み込み表示のみで機能の記載はなく、投稿文では Claude や Codex との会話を共有・保存する目的を説明した | 05:18 |
| 18 | Show HN: Superbase – a SvelteKit rewrite of Supabase table editor（Superbase: Supabase テーブルエディタの SvelteKit 版） | リンク先は JavaScript なしで内容を表示せず、投稿文では bunx @xl0/superbase と接続文字列だけで動くと説明した | 06:05 |
| 19 | Zod: TypeScript-first schema validation with static type inference（Zod: 静的型推論を備えた TypeScript ファーストのスキーマ検証） | 公式サイトへの投稿で、最新は Zod 4.6、依存ゼロ、コアは gzip 2kb、TypeScript v5.5 以降でテストされている | 06:50 |
| 20 | A self-hosted small-group back end on a Cloudflare free tier（Cloudflare 無料枠で動く小規模グループ向けセルフホストバックエンド） | 教会の少人数グループ向けアプリ QJW を Worker 1 つと D1 で動かし、R2 もクレジットカードも不要にした | 07:33 |
| 21 | Ongoing NPM attack adminide-stack tab-padded eval(atob) with an ETH dead-drop（進行中の npm 攻撃: adminide-stack のタブ埋め eval(atob) と ETH デッドドロップ） | cdmbase の 10 パッケージ 12 リリースが汚染され、Ethereum の送信先アドレスから C2 の IP を得て次段を実行する | 08:09 |
| 22 | Postgres 19 Repack: Built-In Online Table Bloat Cleanup（Postgres 19 の REPACK: 組み込みのオンラインテーブル肥大解消） | REPACK (CONCURRENTLY) は読み書きを止めず終盤の短いロックだけで、例では 493MB を 228MB へ 54% 縮小した | 09:38 |
| 23 | Ask HN: What is the best non mainstream programming language or stack in 2026?（Ask HN: 2026 年の非主流言語・スタックで最良のものは） | 5 コメントの議論で、Scheme・Racket・Clojure・OCaml が挙がり、LLM 時代は用途で Go や TypeScript を選ぶ声もあった | 09:51 |
| 24 | Show HN:Pptx-to-Pdf – Convert PowerPoint to PDF in Node.js Without LibreOffice（Pptx-to-Pdf: LibreOffice なしで Node.js 上で PowerPoint を PDF へ変換） | 純 TypeScript でネイティブ依存なし、convert(buffer) で PDF を返し、スライド指定とフォント割り当てに対応する | 10:30 |
| 25 | Show HN: Predictygraph – animated diagrams styled with CSS, no reshuffle on edit（Predictygraph: CSS で装飾でき、編集で配置が崩れないアニメーション図） | グループごとに layout を選ぶ方式で、1 か所の変更が全体の再配置に及ばないと Mermaid や Graphviz と比べて説明した | 10:31 |
| 26 | How HN: CloudDrive (Open Source) – Put Your Own Cloudflare R2 Bucket in Finder（CloudDrive（OSS）: 自分の Cloudflare R2 バケットを Finder に） | macOS 14 以降の Apple Silicon 向けで認証情報は Keychain に保存、ゴミ箱と版復元は未実装の実験版である | 10:38 |
| 27 | Show HN: Pauseless – Free silence/filler-word remover from videos, on-browser（Pauseless: ブラウザ上で動画の無音やフィラーを除去する無料ツール） | 1 時間 2.7GB の MP4 を約 5 秒で解析し、Final Cut Pro や Premiere 向け形式へアップロードなしで出力する | 10:52 |
| 28 | Is PostgreSQL Winning?（PostgreSQL は勝っているのか） | 2026年11月の DB-Engines で SQL Server まで 3.84 点差に迫る一方、指標は人気を測るものと注意を促した | 10:58 |
| 29 | Show HN: No-JS <dialog> in Blades CSS v3.1.1 (a Pico CSS fork)（JS なしの dialog: Blades CSS v3.1.1（Pico CSS のフォーク）） | Invoker Commands API の command 属性で開閉し、@starting-style でフェードとズームの遷移を付ける | 11:54 |
| 30 | Show HN: DropMyPage – turn an HTML file or PDF into a link and QR code（DropMyPage: HTML や PDF をリンクと QR コードに） | 5MB までのファイルを登録なしで公開でき、無料リンクは 7 日で失効、Pro は無期限と案内している | 11:59 |
| 31 | Text.js: Build full-stack React apps that render inside console.log（Text.js: console.log の中で描画するフルスタック React アプリ） | React 19 と App Router を DevTools コンソールで動かし、bunx create-text-app で始められる | 13:59 |
| 32 | A boilerplate for Node.js apps / TypeScript（Node.js / TypeScript アプリのボイラープレート） | v2.0.0 は Express 5、TypeScript 7、MongoDB、Redis、Zod を使い、JWT 認証とメール outbox を備える | 14:22 |
| 33 | PostgreSQL Internals [pdf]（PostgreSQL 内部構造の解説書 PDF） | リンク先は約 6.6MB の PDF で本文は確認しておらず、ファイル名は postgresql_internals-14_en である | 14:22 |
| 34 | Show HN: Open-source proxy for per-tenant Postgres, no app changes（テナント別 Postgres を実現する OSS プロキシ（アプリ変更不要）） | リンク先は LokaDB のプレイグラウンドで、セッション操作とエディタのみが表示され仕組みの記載はなかった | 14:55 |
| 35 | Steam tables (IAPWS-IF97) in zero-dependency JavaScript（依存なしの JavaScript で書かれた蒸気表（IAPWS-IF97）） | engineering-tables は IAPWS-IF97 の検証値と有効数字 8 桁で一致し、t 分布や単位変換も含む | 15:27 |
| 36 | Show HN: HIPAA compliance evidence for Supabase RLS,functions,triggers,auditlogs（Supabase の RLS・関数・トリガー・監査ログの HIPAA 証跡） | BAA が覆うのは基盤までで、RLS や監査表とその動作の証明は利用者の責任と 2026年10月29日の記事で整理した | 16:52 |
| 37 | Show HN: A privacy-first career toolkit (PDF manipulation runs in Browser/WASM)（プライバシー重視のキャリアツールキット（PDF 操作はブラウザ / WASM）） | リンク先は本文を JavaScript で描画し、説明文のみ取得できた。LinkedIn 投稿や ATS 向け履歴書を AI で作る無料ツールとある | 17:13 |
| 38 | Front End JavaScript Interview Questions（フロントエンド JavaScript の面接問題） | 2017年6月9日の Boris Cherny 氏の記事で、概念・コーディング・デバッグ・システム設計に分けて実際の質問を挙げた | 19:29 |
| 39 | Show HN: Nexity, Claude Code skills to add sections to Next.js + Sanity sites（Nexity: Next.js + Sanity サイトにセクションを追加する Claude Code スキル） | Next.js 16.4 と Sanity Studio 6.20 の pnpm モノレポ starter に、エージェント用スキルとレビュー役を同梱する | 20:36 |
| 40 | Replacing homepage demo media with looping HTML and CSS（ホームページのデモ動画をループする HTML と CSS に置き換える） | Stepshots は動画や GIF をやめ、3 クリップで共有 CSS 3.3KB（gzip）、JavaScript なしの 10 秒ループを示した | 20:45 |
| 41 | Show HN: 13M opinions on 48k products extracted from Reddit and HN（Reddit と HN から抽出した 4.8 万製品・1,300 万件の意見） | 13,576,547 件の意見で 47,699 件を順位付けし、Gemma 4 を自宅の 3090 で動かして抽出したと説明した | 21:09 |
| 42 | Plugins with no writes to the live site.WASM sandboxes and reviewable changesets（公開サイトへ書き込まないプラグイン: WASM サンドボックスと確認可能な変更セット） | Hatamoto の CMS プラグインは本番書き込み用の host 関数を持たず、changeset を所有者が確認して公開する | 21:33 |
| 43 | Show HN: React-axis-drag – pointer drags that lock to one axis（React-axis-drag: 1 軸に固定するポインタードラッグ） | リンク先は本文を JavaScript で描画し説明文のみ取得できた。スワイプ行やシートで他軸のネイティブスクロールを保つ hook とある | 21:55 |
| 44 | Server Side Includes with Cloudflare Workers（Cloudflare Workers で Server Side Includes を実現） | HTMLRewriter API でヘッダーやフッターを動的に挿入し、ビルド工程なしで部品を再利用する例を公開した | 22:12 |
| 45 | Show HN: The HTML Library of Babel（HTML 版バベルの図書館） | 保存せず番号から 1 決定ずつページを生成する方式で、全ページが必ず妥当な HTML になり、逆引きもできる | 22:59 |
| 46 | Show HN: InstallRate – what Claude, GPT and Gemini npm install (20 categories)（InstallRate: Claude・GPT・Gemini が npm install するものを 20 分類で集計） | 600 回答の集計で Sentry 100%、PostHog 93%、Stripe 80%、Neon 67% が最多で、標本は小さいと注記した | 23:35 |
| 47 | Hot-Reloading Stateful WebAssembly at 10 Mpps Without Dropping Packets（10 Mpps で状態を持つ WebAssembly をパケット欠落なしにホットリロード） | Wabrix は共有メモリで状態を引き継ぎ、切り替え 1.851µs、30 億パケットで欠落ゼロを記録した | 23:40 |
| 48 | Durable Coroutines for TypeScript（TypeScript 向けの Durable Coroutines） | Restate の TypeScript SDK は generator で永続ステップを実装し、P50 2.5ms、P99 9ms の追加遅延と公表した | 23:42 |
| 49 | Fencing a Postgres primary that might still be alive（まだ生きているかもしれない Postgres プライマリのフェンシング） | 昇格前に旧プライマリの書き込みを断つ仕組みで、AWS は第 2 NIC の強制切断を使い、全手段の失敗時も昇格する fail-open とした | 23:50 |
| 50 | TScert: A Sound Core for TypeScript（TScert: TypeScript の健全なコア） | 証明付きの関数だけを受理し、Lean で健全性を証明した検査器が tsc の通す xs[n - 1] の不正読み出しなどを拒否する | 23:58 |