自動更新サイトに「捏造セールを弾く」検証ゲートをビルドに入れる（実装コード付き）
セール情報サイトを毎日自動更新していると、いちばん怖いのは「実在しない割引」を載せることだ。運用中のocha/menrui/manga-dealsでは、build.jsの入口に正規表現ベースの検証ゲートを置き、裏付けの無い断定表現でビルドを止めている。実際のコードと設計の勘所をまとめる。
Hashito.Blog
AbortSignal.timeout()でfetchに数行でタイムアウトを付ける（Node.js/ブラウザ共通）
fetchは既定でタイムアウトしない。AbortControllerでsetTimeoutを手書きしていた定番処理が、AbortSignal.timeout()とAbortSignal.any()で数行に短縮できる。実際に動くコードと注意点をまとめる。
CVE-2025-34291に学ぶ：CORSとSameSite=Noneでリフレッシュトークンを盗ませない設定
KEV入りしたLangflowのCVE-2025-34291は「緩いCORS」×「SameSite=Noneのリフレッシュトークンcookie」の合わせ技でトークンを奪われる。同じ穴を自分のアプリで塞ぐための、CORSとcookie属性の具体的な設定を示す。
脆弱性まとめサイトでCVEごとにHowTo/FAQ構造化データを自動生成する（データ駆動＋掲載ガード）
運用中の脆弱性ウォッチ cve.autoarticles.net は、CVEのJSON1件から詳細ページ・HowTo・FAQPageのJSON-LDまでをビルド時に生成し、CVSS>=7.0とsource必須の検証ゲートで捏造データを弾いている。その設計を実際のコードで示す。
FortiSandboxの未認証RCE(CVE-2026-25089/39808)：管理UIの外部露出を自分で点検する
実際に悪用が観測されKEV入りしたFortiSandboxのOSコマンドインジェクション。攻撃の前提となる「WEB UIの外部公開」を、自社アセットに対して安全に点検する手順とコマンドをまとめる。
ULIDをブラウザで生成する：UUIDとの違いとCrockford Base32の実装
時系列でソートできる一意ID「ULID」を、依存ゼロのJavaScriptで生成する。UUIDとの使い分け、48ビットのタイムスタンプと80ビット乱数の構造、Crockford Base32のエンコードを動くコードで解説する。
予定をQRコードで配る：iCalendar(VEVENT)をブラウザだけで生成しqrcode.jsでQR化する
チラシやPOPに載せて読み取るだけでカレンダー登録画面が開くQRを、サーバーなしで作る。iCalendar(VEVENT)の組み立て・エスケープ・qrcode.jsでのQR化までを、実際に動くコードで解説する。
Gitの改行コード差分ノイズを止める — .gitattributes の text=auto と eol の使い分け
WindowsとmacOS/Linuxが混在するチームで起きがちな「ファイル全体が差分になる」改行コード問題。core.autocrlf に頼らず .gitattributes の text=auto と eol で改行を明示的に固定し、既存リポジトリを安全に再正規化する手順をまとめる。