LLMの出力をJSON Schemaで固定する — パース失敗のリトライを設計から消す
LLMの応答をJSONで受け取る処理は、プロンプトで「JSONだけ返して」と頼む限りいつか壊れる。スキーマ強制（structured outputs）に移すと、パース失敗のリトライ処理そのものが不要になる。設計上の効き所と、スキーマ側の制約をまとめる。
Hashito.Blog
marimoの/terminal/ws未認証RCE（CVE-2026-39987）— 自分の環境が外に出ていないか確認する
リアクティブPythonノートブックmarimoの0.23.0より前に、ターミナルWebSocket /terminal/ws の認証欠如による未認証RCEがある（CVSS v4 9.3、CISA KEV収載）。開発機やクラウドVMで0.0.0.0にバインドしていないか、実際に確認する手順をまとめる。
自動更新サイトに「捏造セールを弾く」検証ゲートをビルドに入れる（実装コード付き）
セール情報サイトを毎日自動更新していると、いちばん怖いのは「実在しない割引」を載せることだ。運用中のocha/menrui/manga-dealsでは、build.jsの入口に正規表現ベースの検証ゲートを置き、裏付けの無い断定表現でビルドを止めている。実際のコードと設計の勘所をまとめる。
AbortSignal.timeout()でfetchに数行でタイムアウトを付ける（Node.js/ブラウザ共通）
fetchは既定でタイムアウトしない。AbortControllerでsetTimeoutを手書きしていた定番処理が、AbortSignal.timeout()とAbortSignal.any()で数行に短縮できる。実際に動くコードと注意点をまとめる。
CVE-2025-34291に学ぶ：CORSとSameSite=Noneでリフレッシュトークンを盗ませない設定
KEV入りしたLangflowのCVE-2025-34291は「緩いCORS」×「SameSite=Noneのリフレッシュトークンcookie」の合わせ技でトークンを奪われる。同じ穴を自分のアプリで塞ぐための、CORSとcookie属性の具体的な設定を示す。
脆弱性まとめサイトでCVEごとにHowTo/FAQ構造化データを自動生成する（データ駆動＋掲載ガード）
運用中の脆弱性ウォッチ cve.autoarticles.net は、CVEのJSON1件から詳細ページ・HowTo・FAQPageのJSON-LDまでをビルド時に生成し、CVSS>=7.0とsource必須の検証ゲートで捏造データを弾いている。その設計を実際のコードで示す。
FortiSandboxの未認証RCE(CVE-2026-25089/39808)：管理UIの外部露出を自分で点検する
実際に悪用が観測されKEV入りしたFortiSandboxのOSコマンドインジェクション。攻撃の前提となる「WEB UIの外部公開」を、自社アセットに対して安全に点検する手順とコマンドをまとめる。
ULIDをブラウザで生成する：UUIDとの違いとCrockford Base32の実装
時系列でソートできる一意ID「ULID」を、依存ゼロのJavaScriptで生成する。UUIDとの使い分け、48ビットのタイムスタンプと80ビット乱数の構造、Crockford Base32のエンコードを動くコードで解説する。