أخبار التقنية المختارة في 31 أكتوبر 2026
كيفية الاتصال بقاعدة بيانات خاصة باستخدام AWS Session Manager دون فتح منافذ واردة
- عندما تكون قاعدة البيانات في شبكة لا يمكن الوصول إليها مباشرة من الإنترنت، كان النهج التقليدي يقضي بوضع خادم وسيط SSH مع فتح المنفذ 22 على الإنترنت وإدارة ملفات المفاتيح. يشرح هذا المقال كيفية الاتصال بـ RDS أو Aurora من عميل قاعدة بيانات محلي باستخدام Session Manager من AWS Systems Manager دون فتح منافذ.
- يعمل Session Manager لأن SSM Agent المثبت على الخادم EC2 يفتح اتصال HTTPS صادرًا نحو AWS، لذلك لا تحتاج مجموعة الأمان إلى قواعد واردة. غير أن المؤلف يوضح أنه لا يمكن تثبيت Agent على RDS، لذلك ما زال خادم وسيط واحد من نوع EC2 مطلوبًا.
- الإعداد الذي يشغله المؤلف يضع Aurora PostgreSQL في شبكة فرعية خاصة لا يوجد لها مسار إلى الإنترنت، ويُبقي خادم وسيطًا من نوع t4g.nano دون زوج مفاتيح وبلا قواعد واردة مغلقًا معظم الوقت. يقدم النص الأصلي هذا بوصفه حالة تشغيلية للمؤلف، ولا يتضمن نتائج التحقق من حدود التكلفة أو الأداء 3.
- بحسب النص الأصلي، يُتحكم في الوصول بصلاحية ssm:StartSession في سياسات IAM، ويُسجَّل بدء الجلسات وانتهاؤها في CloudTrail. ويذكر النص صراحةً أن محتوى استعلامات SQL المتبادلة مع قاعدة البيانات في جلسات إعادة توجيه المنافذ لا يُسجَّل.
تصل بعض ميزات Apple Intelligence إلى آيفون في الصين ضمن إصدار iOS 27.3 التجريبي
- سيتمكن مستخدمو آيفون في الصين من استخدام ميزات مثل ملخصات الإشعارات والترجمة الفورية وتحسين الكتابة وتدقيقها وإزالة الأشياء من الصور. يقدم النص الأصلي هذه الميزات بوصفها ميزات أولية من Apple Intelligence، وهي مجموعة ميزات الذكاء الاصطناعي لدى Apple.
- أعلنت Apple في إعلان من غرفة أخبارها الصينية أنها ستطرح إصدار iOS 27.3 التجريبي في نوفمبر 4 وستطرح النسخة الرسمية في ديسمبر. وقد نقلت MacRumors هذا الجدول الزمني.
- لا يتضمن هذا الإطلاق في الصين أحدث Siri بالذكاء الاصطناعي. قالت Apple إنها ستربط روبوت الدردشة Qwen التابع لشركة Alibaba في بعض التجارب، ويوضح النص الأصلي أن هذا الربط يشبه التكامل مع ChatGPT.
- جاءت الموافقة في الصين في يوليو، وذكرت Reuters أن Apple درّبت في أغسطس نموذج LLM منفصلا للصين. ويرى النص الأصلي أن هذه الموافقة إشارة إلى اقتراب الإطلاق.
كيف تدخل سكربتات خبيثة إلى مدخلات المستخدم في هجمات XSS، والدفاعات الأساسية
- هجوم XSS يشغّل في متصفحات مستخدمين آخرين سكربتات خبيثة أعدّها المهاجم. السكربت برنامج صغير يحرّك صفحة الويب. يشرح المصدر أن فتح رابط خبيث أو عرض صفحة موبوءة قد يكفي لتشغيله بصلاحيات ذلك الموقع.
- يقسّم المصدر هجمات XSS إلى أنواع: المنعكسة والمخزّنة والقائمة على DOM. تحدث المنعكسة والمخزّنة عندما ينشئ الخادم HTML خطرا ويعيده. أما القائمة على DOM فتحدث عندما يرسل الخادم HTML طبيعيا فقط، ثم يدرج سكربت المتصفح قيمة من عنوان URL في الصفحة، لذلك يصعب منعها بالهروب من جهة الخادم.
- الدفاع الأساسي هو إدراج مدخلات المستخدم باستخدام textContent بدلا من innerHTML، بحيث تظهر نصا فقط. يعرض المصدر أيضا واجهات Sanitizer مثل setHTML(). ويستند إلى مواد web.dev فيذكر أن Firefox تدعمها منذ 148 (2026 فبراير)، وأن Chrome وEdge تدعمانها منذ 146، وأن Safari لا تدعمها.
- تمنع ملفات تعريف الارتباط HttpOnly السكربتات من قراءتها، مما يقلل سرقة معلومات الجلسة. لكنها لا تمنع تنفيذ السكربت نفسه. أما CSP فيقيّد تنفيذ السكربتات غير المسموح بها، لكن المصدر يذكر مقايضة: إعداد التكاملات مع الخدمات الخارجية مرهق، والشاشات قد تتعطل بسهولة.