2021-07-14のJS: Firefox 90、npm auditの問題、Access Guide

[azu]

Firefox 90がリリースされました。

• Firefox 90.0, See All New Features, Updates and Fixes
• Firefox 90 for developers - Mozilla | MDN

Firefox 90ではECMAScript Proposal Stage 4のPrivate class fieldsをデフォルトでサポート、Stage 3のString/Arrayのat()をサポートしています。FTPサポートの削除、WheelEventの互換性を改善なども含まれています。

また、Chromeでも実装されていたFetch metadata request headersが実装されています。
Sec-Fetch-Site、Sec-Fetch-Mode、Sec-Fetch-User、Sec-Fetch-Destのリクエストヘッダがそれぞれのリクエストに追加され、サーバ側でのチェックに利用できます。

• Firefox 90 supports Fetch Metadata Request Headers - Mozilla Security Blog
• Protect your resources from web attacks with Fetch Metadata

Fetch metadata request headersはSafariとIE以外のブラウザで実装されています。

---

npm audit: Broken by Design — Overreactedという記事では、create-react-appを例に npm audit で報告される脆弱性の問題について書かれています。

報告される脆弱性の殆どはReDOSとなっていて、devDependenciesとして扱うツールにおいてはfalse positiveに近いものとなっている点やエコシステムとして対応が難しくなっている点について書かれています。

GitHubから公開されている GitHub’s Advisory Database のデータにおいても2021年はCWE-400であるDoSが一番多く報告されていて、ReDOSの報告が増えてることもわかります。

• Our shared common weaknesses | GitHub Security Lab

ツールが過剰する報告する問題の中に実際の問題が混ざって無視されてしまう懸念、どのような対応が考えられるか、npm audit and audit-resolve.jsonといったRFCなどについても書かれています。

---

Access Guideというサイトでは、 WCAG 2.1のアクセシビリティガイドの解説が書かれています。
それぞれのトピックごとに解説や実装方法、テスト方法などについてのリソースがまとめられています。