Microsoft Security Response Center（MSRC）は米国時間12月22日、「Microsoft Azure」上で発見された「NotLegit」脆弱性への対応をブログで発表した。この脆弱性は、クラウドセキュリティ企業Wiz（Wiz.io）によって発見、報告されていたものだ。
Wizによると、影響を受けるのは、「Azure App Service」内のクリーンなデフォルトアプリケーション上で、2017年9月以降に「Local Git」を用いてデプロイしたすべてのPHPやNode.js、Ruby、Pythonのアプリケーションだという。また、アプリケーションコンテナー内でファイルを作成したり、修正したりした後、2017年9月以降にGitソースを用いてAzure App Service内にデプロイしたすべてのPHPやNode.js、Ruby、Pythonのアプリケーションも影響を受けるという。
⇧ う～ん、「Azure App Service」が何なのかと言うと、
App Serviceは上図のPaaSの部分に相当します。OSやミドルウェアの部分はぜーんぶAzure側が面倒を見てくれます。開発エンジニアが見る部分はランタイムより上の部分です。App Serviceで提供されているランタイムを選択して、ビルド済みのアプリケーションをデプロイするだけです。
⇧ ということのよう。
「NotLegit」の脆弱性について、Javaには言及されてないところを見ると、「WAR（Web application ARchive）」のデプロイとかは影響を受けないってことですかね。
今回は、「TypeScript」についてです。
レッツトライ～。
TypeScriptとは？
Wikipediaさんによりますと、
TypeScript はマイクロソフトによって開発され、メンテナンスされているフリーでオープンソースのプログラミング言語である。TypeScriptはJavaScriptに対して、省略も可能な静的型付けとクラスベースオブジェクト指向を加えた厳密なスーパーセットとなっている。C#のリードアーキテクトであり、DelphiとTurbo Pascalの開発者でもあるアンダース・ヘルスバーグがTypeScriptの開発に関わっている。
TypeScriptはクライアントサイド、あるいはサーバサイド (Node.js) で実行されるJavaScriptアプリケーションの開発に利用できる。
TypeScriptは大規模なアプリケーションの開発のために設計されている。
TypeScriptはJavaScriptのスーパーセットであるため、既存のJavaScriptプログラムは、全て有効なTypeScriptプログラムとなる。
⇧ ということらしいのですが、「TypeScript」を大雑把に解釈すると、
のコラボレーションということで、「JavaScript」に、
- 静的型付け
- クラスベースオブジェクト指向
の機能を加えたものということらしい。
ちなみに、「JavaScript」は「動的型付け」言語という位置付けらしいです。
TypeScript is a language for application-scale JavaScript. TypeScript adds optional types to JavaScript that support tools for large-scale JavaScript applications for any browser, for any host, on any OS. TypeScript compiles to readable, standards-based JavaScript. Try it out at the playground, and stay up to date via our blog and Twitter account.
⇧ Microsoftの公式の説明によると、ブログやTwitterで最新情報を入手して欲しいということでしょうか、なかなか辛いところですな...
JavaScriptとは？
そんじゃ、「JavaScript」って？
JavaScript（ジャバスクリプト）とは、プログラミング言語のひとつである。JavaScriptはプロトタイプベースのオブジェクト指向スクリプト言語であるが、クラスなどのクラスベースに見られる機能も取り込んでいる。
⇧ とあるのですが、
新しい (ES2015以降) JavaScriptではクラスの構文によりプロトタイプを意識せずにオブジェクト指向プログラミングをすることが可能になったが、言語設計はプロトタイプベースの設計を維持している。
⇧「オブジェクト指向プログラミング」が可能になったとあるけど、そも「プロトタイプベース」って？
プロトタイプベース (英: Prototype-based) は、オブジェクト指向プログラミング（OOP）のスタイルのひとつであり、オブジェクトの生成に既存オブジェクトのクローン（複製）を用いるスタイルを指している。これには直後にメンバを拡充するための空オブジェクトの複製も含まれている。このスタイルは、インスタンスベース（Instance-based）とも呼ばれている。これと対比されるOOPスタイルにクラスベースがある。
⇧ ということらしいのですが、「プロトタイプベース（prototype base）」と「クラスベース（class base）」の違いとして、イメージ的には、
⇧ 上図のような感じになるらしい。
で、「JavaScript」は、
JavaScriptの言語仕様はECMAScriptとして標準化され、実装は各種のJavaScriptエンジンによって提供されている。JavaScriptエンジンの例としてGoogle ChromeのV8、FirefoxのSpiderMonkey、SafariのJavaScriptCoreが挙げられる。
言語仕様を定義するECMAScriptのほかに、ウェブブラウザへアクセスするためのAPI仕様にDOMなどがある。これらはECMAScriptとは独立しておりJavaScriptとは独立した概念である。
⇧ いろんな概念と絡んでるらしく、いまいち定義がモヤっとしてる感がありますな。
オブジェクト指向の面では、JavaScriptのオブジェクトはクラスベースではなくプロトタイプベースである。
⇧「関数型」をサポートしてるから、コーディングもトリッキーな感じになりそうですな...
TypeScriptを学べばJavaScriptも学べるらしい
「TypeScript」は最終的に「JavaScript」に変換する必要がありますと。
⇧ 上記サイト様によりますと、「JavaScriptエンジン」にも種類がいろいろあるらしく、「Google Chrome」なんかで使われてるのは「V8」というものらしく、
⇧ なんか、JavaScriptファイルじゃなくても動くんかい！っていうような図を見せさせられる流れはどうなのよ。
そもそも、「CSA（CodeStubAssembler）」って何？
V8’s CodeStubAssembler is a custom, platform-agnostic assembler that provides low-level primitives as a thin abstraction over assembly, but also offers an extensive library of higher-level functionality.
⇧「a custom, platform-agnostic assembler」ってことらしいのですが、「platform-agnostic」と言われましてもね、
情報工学において、アグノスティック (agnostic) であるとは、ソフトウェアやハードウェアが、特定のプロトコル、プログラミング言語、オペレーティング・システムに依存しない、あるいはその仕様の詳細に関知しない設計であることを指す。英語で不可知論を意味する agnosticism に由来する。
プラットフォームを問わない場合はplatform agnostic（ほぼクロスプラットフォームと同じ意味）、あるデータの処理や送受信において使用されるインターフェースやOSを問わない場合 data agnostic（英語版）などといった成句として使われる。
⇧ プラットフォームに依存しない「アセンブラ」ってことらしい。
ただ、
Note: Torque replaces CodeStubAssembler as the recommended way to implement new builtins. See Torque builtins for the Torque version of this guide.
⇧「Torque」ってものを使った方がお勧めらしい。
V8 Torque is a language that allows developers contributing to the V8 project to express changes in the VM by focusing on the intent of their changes to the VM, rather than preoccupying themselves with unrelated implementation details.
⇧ う～ん、「V8」自体の開発の場合の話ってことなんかな？
⇧ 上図によると、「ECMAScript」が「JavaScriptエンジン」によって実行されるということらしい。
A JavaScript engine is a software component that executes JavaScript code. The first JavaScript engines were mere interpreters, but all relevant modern engines use just-in-time compilation for improved performance.
JavaScript engines are typically developed by web browser vendors, and every major browser has one. In a browser, the JavaScript engine runs in concert with the rendering engine via the Document Object Model.
The use of JavaScript engines is not limited to browsers. For example, the V8 engine is a core component of the Node.js and Deno runtime systems.
Since ECMAScript is the standardized specification of JavaScript, ECMAScript engine is another name for these engines. With the advent of WebAssembly, some engines can also execute this code in the same sandbox as regular JavaScript code.
⇧ う～ん、何か、「ECMAScript」の仕様に準拠しているなら「JavaScript」ファイルでなくても「JavaScriptエンジン」で実行できるってことなんかな？
TypeScriptを学んでみる
結局「JavaScriptエンジン」について、モヤモヤ感しか残らなかったのだけど、「TypeScript」を学んでみますか。
Microsoftの公式のドキュメントによると、「TypeScript」は、
⇧ 上図のような構成になっているらしいのですが、「TypeScript」は「npm」でインストールする必要があるということで、「Node.js」が必要ということは記述されてないという安定の不親切さ、流石はMicrosoftさん。
自分の環境でインストールされてる「Node.js」を確認してみます。自分は「nvm-windows」という「Node.js」のバージョン管理を行うツールをインストールしているので、「nvm-windows」で「Node.js」のバージョンを確認してます。
「nvm-windows」については、
⇧ Microsoftの公式ドキュメントを参照ください。
⇧ バージョンが旧い...
全量は確認できないけど、利用可能な「Node.js」のリストを確認。
⇧ 表示された一覧の中の「LTS（Long Time Support）」版の新し目のをインストールします。
で、「TypeScript」がインストールできるようになったので、適当に「TypeScript」プロジェクト用のフォルダを作成で。
コマンドプロンプトで、上記で作成したフォルダへ移動。
npmでインストールできるtypescriptのバージョンを確認。
⇧ npm自体のバージョンアップを促されたけども、頑なにグローバルインストールさせようとするの止めて欲しい...
とりあえず、「typescript」は現時点での「LTS（Long Time Support）」の最新っぽいのをインストールしておきます。
⇧ インストールされた「node_modules」フォルダの中を確認すると、
⇧ 「typescript」がインストールされてるようです。
ちなみに、Windowsの場合で、「typescript」をグローバルインストールしない場合、「node_modules\.bin」の中の「tsc」ファイルまでのフルパスを指定してコマンド実行する必要がありますかね。
⇧ まぁ、グローバルインストールすると、複数バージョンの使い分けとか面倒くさくなりそうですし、悩ましいところではありますが...
そんでは、適当に、「.ts」ファイルを作成して、
ファイルの中身を編集。
⇧ 上記サイト様を参考にさせていただきました。
ちなみに、
⇧ 難読化が流行ってるのかは分かりませんが、「Church数」ってものは初めて知ったかも？
In mathematics, Church encoding is a means of representing data and operators in the lambda calculus. The Church numerals are a representation of the natural numbers using lambda notation. The method is named for Alonzo Church, who first encoded data in the lambda calculus this way.
⇧「λ（ラムダ）式」が関わってるってことみたいね。
関数 (ラムダ抽象) のみを用いて代数的データを表現 (encode) する方法としてよく知られたものとして, Church encoding と Scott encoding という 2 つの方法がある.
⇧ 上記サイト様によりますと、「Scott encoding」ってものも存在するそうな。
In computer science, Scott encoding is a way to represent (recursive) data types in the lambda calculus. Church encoding performs a similar function. The data and operators form a mathematical structure which is embedded in the lambda calculus.
⇧「Church encoding」と似た振る舞いをする関数ってことらしい。
まぁ、脱線しましたが、以下、「TypeScript」で一般的な「FizzBuzz」してみました。
// 変数
let num:number = 100;
// 関数を実行
fizzBuzzByStandard(num);
fizzBuzzByOneliner(num);
fizzBuzzByArray(num);
// 剰余
function fizzBuzzByStandard(num:number):void {
let result:string = ""
for (let index:number = 1; index <= num; index++) {
if (index % 3 == 0 && index % 5 == 0) {
result += "FizzBuzz";
} else if (index % 3 == 0) {
result += "Fizz";
} else if (index % 5 == 0) {
result += "Buzz";
} else {
}
console.log(index + ": " + result);
result = "";
}
}
// 1行縛り
function fizzBuzzByOneliner(num:number):void {
let result:string = ""
for (let index:number = 1; index <= num; index++) {
result =
index % 3 == 0 && index % 5 == 0 ? "FizzBuzz" :
index % 3 == 0 ? "Fizz" :
index % 5 == 0 ? "Buzz" : ""
console.log(index + ": " + result);
result = "";
}
}
// 分岐無し
function fizzBuzzByArray(num:number):void {
let strArr:readonly String[] = ["FizzBuzz", "", "", "Fizz", ""
,"Buzz", "Fizz", "", "", "Fizz"
,"Buzz", "", "Fizz", "", ""];
for (let index:number = 1; index <= num; index++) {
console.log(index + ": " + strArr[index % 15]);
}
}
コンパイルして、「JavaScript」ファイルを作成。「set」コマンドで一時的に「tsc」までのパスを通しておきました。（いま起動してるコマンドプロンプトでのみパスが有効になる。コマンドプロンプトを終了すればパスは無効）
「JavaScript」ファイルは「Node.js」で実行できるようです。
「JavaScript」ファイルを確認してみる。
// 変数
var num = 100;
// 関数を実行
fizzBuzzByStandard(num);
fizzBuzzByOneliner(num);
fizzBuzzByArray(num);
// 剰余
function fizzBuzzByStandard(num) {
var result = "";
for (var index = 1; index <= num; index++) {
if (index % 3 == 0 && index % 5 == 0) {
result += "FizzBuzz";
}
else if (index % 3 == 0) {
result += "Fizz";
}
else if (index % 5 == 0) {
result += "Buzz";
}
else {
}
console.log(index + ": " + result);
result = "";
}
}
// 1行縛り
function fizzBuzzByOneliner(num) {
var result = "";
for (var index = 1; index <= num; index++) {
result =
index % 3 == 0 && index % 5 == 0 ? "FizzBuzz" :
index % 3 == 0 ? "Fizz" :
index % 5 == 0 ? "Buzz" : "";
console.log(index + ": " + result);
result = "";
}
}
// 分岐無し
function fizzBuzzByArray(num) {
var strArr = ["FizzBuzz", "", "", "Fizz", "",
"Buzz", "Fizz", "", "", "Fizz",
"Buzz", "", "Fizz", "", ""];
for (var index = 1; index <= num; index++) {
console.log(index + ": " + strArr[index % 15]);
}
}
⇧ ソースコードを見比べた感じ、「JavaScript」の場合、「TypeScript」で定義していた「型」は根こそぎ無くなるので、どんな「型」を扱っているのかを把握できるような変数名だったり関数名にするのが大事ってことですかね。
⇧ 上記サイト様によりますと、「TypeScript」では「セミコロン」を付けなくても良いらしく、混乱の元となっているようです...
モヤモヤ感が半端ない...
今回はこのへんで。
