Блог

Что случилось с goplay? Я вижу много более ранних ссылок на утилиту, которая раньше поставлялась с go в /misc/goplay . Однако, похоже, это было удалено в go1.3

Старая версия по-прежнему доступна для просмотра в исходном репозитории вплоть до go1.3beta2: go1.3beta2: misc/goplay/ и работает, если вы устанавливаете ее локально. Немного покопавшись, я обнаружил, что он был удален в редакции 2daa4d89e0d9, ссылаясь на опасения по поводу выполнения кода.

Игровая площадка великолепна, но не похоже, что легко запустить свой собственный локальный экземпляр, который будет работать со всеми библиотеками, которые у вас есть в path, и для некоторых библиотек, в частности svgo, кажется очень полезным иметь такую утилиту, как goplay. Есть ли какая-то новая утилита, которая должна заменить ее? Существует ли канонический выбор сторонней утилиты для достижения того же эффекта?

Сообщение о фиксации для его удаления кажется довольно простым. Любой, кто может подключиться к серверу goplay, может выполнить произвольный код от имени пользователя.

По умолчанию он прослушивается localhost , что делает его уязвимым для атак со стороны других локальных пользователей на компьютере, но если вы настроите его на прослушивание по другому адресу, это позволит удаленное выполнение кода.

Вы ссылаетесь на возможность использования пакетов, недоступных на игровой площадке Go, как на преимущество, но именно поэтому goplay менее безопасен: набор пакетов, доступных на игровой площадке, был выбран для того, чтобы перекрыть векторы атаки.

Код по-прежнему доступен в истории репозитория, поэтому вы можете загрузить и скомпилировать его, если хотите, но это не рекомендуется. Для локальной разработки вы, вероятно, могли бы получить лучший опыт, научив свой любимый текстовый редактор запускаться go run filename.go в ответ на нажатие ярлыка или кнопки.