Генератор UUID / ULID

Как безопасно обращаться с секретами

Инструменты для разработчиков обрабатывают учётные данные чаще, чем кажется, и риск связан не с алгоритмом, а с тем, куда уходят данные. Хеширование одностороннее и не является шифрованием: MD5 и SHA-1 сломаны для всего, что связано с безопасностью, и даже SHA-256 — неподходящий инструмент для хранения паролей, для чего bcrypt, scrypt или Argon2 существуют именно потому, что работают медленно. Base64 — это кодирование, а не защита: декодировать его может любой, поэтому никогда не считайте его обфускацией. JWT может прочитать любой, у кого он есть, поэтому полезная нагрузка никогда не должна содержать секретов, а декодирование токена не проверяет его подпись — для проверки нужен ключ. Всё на этом сайте выполняется локально в вашем браузере — именно поэтому он вообще может безопасно работать с токенами и паролями.

Где конвертации незаметно ломаются

Большинство ошибок конвертации — не про синтаксис, а про смысл. Столбец CSV с почтовыми индексами теряет ведущие нули в тот момент, когда таблица решает, что это число; длинный идентификатор выходит за пределы точности чисел с плавающей запятой; даты меняют смысл в зависимости от того, что идёт первым — день или месяц. Ключи JSON не упорядочены, а массивы упорядочены, и инструмент, сортирующий ключи, ничего не меняет, тогда как сортирующий массивы меняет данные. Unicode — ещё одна ловушка: текст может прийти в UTF-8, в UTF-16 или с BOM, и декодер, который угадает неверно, превращает буквы с диакритикой в «кракозябры». Прежде чем доверять любой конвертации, выборочно проверьте первую и последнюю строку, любое поле с ведущими нулями и любое поле, содержащее кавычки, запятые или переводы строк.