CI — привилегированная среда выполнения: ограничивай GITHUB_TOKEN, предпочитай OIDC долгоживущим облачным ключам и не доверяй недоверенному вводу в run-шаге.

01 GITHUB_TOKEN: дефолтные права, least privilege и почему write-all — это footgun 16 мин 02 OIDC в облако: короткоживущие токены вместо вечных AWS-ключей и пиннинг sub-клейма 17 мин 03 Недоверенный ввод в CI: script injection через интерполяцию контекста и pwn-request на pull_request_target 17 мин

Раннеры и масштаб

Раннеры — это про стоимость и скорость: hosted против self-hosted, автоскейлинг и стратегия кеша определяют пропускную способность CI и счёт.

01 Hosted против self-hosted раннеров: спецификация, счёт и ловушка публичного репозитория 16 мин 02 Автоскейлинг через Actions Runner Controller: эфемерные поды, масштабируемые по очереди 17 мин 03 Стратегия кэша и стоимости: иерархия restore-keys, стена вытеснения 10 ГБ и Docker layer cache 16 мин

Релизная инженерия

Релизная инженерия превращает зелёный пайплайн в управляемую доставку: версионирование, чейнджлоги и гейты окружений делают деплой аудируемым и обратимым.

01 Версионирование и теги: semver, conventional commits и неизменяемый релизный ref 16 мин 02 Changelog'и и релизы: генерируемые заметки, метки PR и человекочитаемая запись 15 мин 03 Окружения и гейты: required reviewers, wait-таймеры и защита веток 16 мин 04 Capstone: чтение реального deploy.yml как кейс-стади по release engineering 18 мин

Проекты по этому треку

Guided-проекты, которые закрепляют изученное здесь.

◆ Проекты

Моделирование угроз и закаливание небольшого приложения

Возьми небольшое приложение, которым ты полностью владеешь, и прогони его через цикл, в котором живёт настоящий инженер по безопасности: сначала разберись, как атакующий реально его сломает, а затем закрой эти пути один за другим. Ты построишь дерево атаки против собственного сервиса, а потом починишь аутентификацию, авторизацию, обращение с секретами, заголовки безопасности и валидацию ввода — и запишешь, какое исправление убивает какую ветку дерева. Это и есть всё ремесло защитной безопасности в миниатюре: не чек-лист, а цепочка от угрозы к мере, которую ты сможешь защитить вслух.

◆ Проекты

URL-сокращатель под нагрузкой

Собери URL-сокращатель, который выдерживает настоящий трафик, — а потом эксплуатируй его: задеплой, наблюдай и разберись с инцидентом, когда одна горячая ссылка плавит твой кэш.

Следующий трек

Node.js с нуля до senior

Рантайм твоего бэкенда — event loop, модули, async и потоки — до senior-глубины.