#webview

Denoが「デスクトップアプリ用の土台」を本気で用意してきた、という話です。Webサイトを作る感覚のまま、Windows・macOS・Linuxで動くアプリをまとめて配れる。しかもDenoのランタイムまで一緒に抱え込んで、ひとつの実行ファイルにしてしまう。こういう発想はかなり気持ちいいです。面倒な配布や環境差を、なるべく見えなくする方向に振っているのが好印象でした。 Denoのプロジェクトを、そのままデスクトップアプリ化できる 単一ファイルのTypeScriptからNext.jsのようなWebアプリまで対象になる Deno 2.9以降で使える OS標準のWebViewを使う軽量構成と、Chromiumを同梱する構成を選べる Next.jsやAstroなどは自動判別して起動できる バックエンドとの通信はIPCではなく、プロセス内のチャネルでやる 1台のマシンからmacOS・Windows・Linux向けにクロスビルドできる 差分更新とロールバックまで最初から用意されている Denoの`desktop`は、ざっくり言うと「Webで作った画面を、普通のデスクトップアプリとして配るための仕組み

GitHubの `github.dev` は、ブラウザ上で動く軽量版VSCode 便利な一方で、GitHubのOAuth token を使ってリポジトリへ広くアクセスできる 記事では、VSCode webview の設計上の隙を突いて、1回クリックさせるだけで token を盗める可能性が示された きっかけは、webview 内の `keydown` を親ウィンドウへ転送する仕組み その結果、攻撃者のJavaScriptが「ユーザー操作っぽく」ふるまえてしまった さらにVSCodeの機能を組み合わせることで、悪意ある extension の導入まで狙える流れが説明されている ただし、記事は実際のPoCや防御の考え方、VSCode側の対応も含めて公開されている この記事は、「VSCodeのバグを使うと、1クリックでGitHub token を抜かれるかもしれない」という、かなりゾッとする話を扱っています。 ここでいう GitHub token は、ざっくり言うと GitHub上であなたの代わりに操作するための合鍵 みたいなものです。 しかも記事で問題にしている token