GitGram
6 постов
ля тех, кто не в контексте: urfave/cli — это штука, на которой написаны тысячи консольных утилит. 23 тысячи звёзд на GitHub, почти 58 тысяч проектов висят на ней как на зависимости. Короче, золотой стандарт. Казалось бы, всё должно быть идеально.
Голем так не считает 👇
Что нашёл по безопасности:
Запуск подпроцессов с подстановкой переменных — потенциальная дыра для инъекций
Переполнение uintptr на 32-битных системах
Файлы с правами 0644 вместо 0600
Необработанные ошибки в скриптах сборки
И пара косяков по стилю — разнобой в именах параметров и кривые комментарии.
Каждую проблему объяснил и показал как чинить.
Бот: @Golem666bot
Request without timeout, хардкод паролей в тестах, проглатывание исключений. @Golem666bot объяснил каждую и показал как чинить.
Всем привет.
Пишу на Python несколько лет. Bandit ищет уязвимости в коде, Ruff орёт про стиль и баги, pip-audit проверяет зависимости на CVE. И каждый раз — портянка из десятков строк, в которой легко упустить важное.
Сделал Telegram-бота Голема. Он собирает всё в один читаемый отчёт и объясняет, что с этим делать.
Как работает:
Кидаете ZIP с проектом или ссылку на GitHub
Бот параллельно запускает три тулзы:
Bandit — безопасность кода
Ruff — стиль и баги
pip-audit — уязвимости в зависимостях
3. Собирает все проблемные строки с контекстом
4.Отправляет в LLM, которая формирует читаемый отчёт: где проблема, почему критично, как исправить
Что с этим делать дальше:
Жмёте /fix — Голем автоматически правит часть проблем (то, что умеет Ruff). Не всё, но работает.
Что ещё умеет:
Анализирует Go-проекты (gosec + staticcheck)
Просто общается на темы кода: спросите про asyncio, context, архитектуру — объяснит, покажет примеры
Пушить проекты в гитхаб, напишет ридми если надо
В планах:
Добавление новых языков (JavaScript/TypeScript, Rust)
Автодеплой проектов прямо из Telegram
Глубокая интеграция с GitHub (создание репозиториев, пулл-реквесты)
Бот: @Golem666bot
Кидайте свои Python-проекты Голему. Посмотрим, что он у вас найдёт. А если есть вопросы по коду — просто спросите.
Всем привет.
Я backend-разработчик, пишу на Go и Python. Последние пару месяцев плотно занимаюсь статическим анализом кода и тем, как выжать максимум из линтеров без тонны мусора в выдаче.
Решил собрать связку: gosec + staticcheck + LLM (DeepSeek) в одном Telegram-боте. Назвал Голем.
Как это работает под капотом:
Вы кидаете ZIP или ссылку на GitHub-репозиторий
Бот параллельно запускает gosec (безопасность: хардкод, crypto, уязвимости) и staticcheck (стиль, баги, неиспользуемые переменные, устаревший синтаксис)
Собирает все проблемные строки с контекстом
Отправляет в LLM, которая формирует читаемый отчёт: где проблема, почему критично, как исправить
Никакой магии. Только статический анализ и агрегация результатов.
Пример:
Что дальше:
Добавляю govulncheck для проверки уязвимостей в зависимостях
Автофикс для Go (пока в разработке)
Анализ Python уже работает (Bandit + Ruff)
Бот: @Golem666bot
P.S Кидайте свои Go-проекты на растерзание в @Golem666bot — интересно, что найдётся. А если есть вопросы по коду, которые заебался гуглить, просто спросите Голема. Он не огрызается.
Сейчас полно всяких инструментов для приема оплаты в ТГ, но везде нужны твои данные для регистрации. А я так не хочу. Не то чтобы я какой-то анонимер, просто когда у меня спрашивают мои паспортные данные, чувствую себя неловко. Это как будто интимная зона какая-то.
Telegram Stars для этого — идеальная хуйня в теории. Платежка внутри мессенджера, юзеры не вводят карты, комиссия теллы вроде адекватная.
Напилил бота на Python (aiogram 3.x). Вот основная архитектура, если кому интересно:
Функционал который работал бы:
Добавление товаров (текст/файлы/фото/видео/аудио)
Уникальные ссылки на каждый товар (не примитивные pay_2, а prod_fgU7d — чтобы долбоебы не перебирали ID)
Реферальная система (0.5% с оборота)
Комиссия бота 5% сверху цены продавца
Пример кода для генерации уникальных ссылок:
И у меня всё работало. НО...
А потом я решил добавить донаты.
То есть функция для админов каналов: создаешь кнопку, кидаешь ссылку «Поддержать канал», люди кидают любую сумму, админ получает бабки.
И тут я узнал пиздец.
Telegram Stars нельзя передавать от пользователя к пользователю посредством бота.
Все звезды, которые платит покупатель, всегда падают только владельцу бота. Не продавцу. Не автору контента. А мне, сука.
Технически это выглядит так:
Покупатель тыкает кнопку «Купить за 100 Stars»
Бот создает инвойс
Telegram списывает 100 Stars с покупателя
... и эти 100 Stars падают в кошелек моего аккаунта
Я должен вручную или через какой-то костыль перевести продавцу его 95 Stars (минус моя комиссия)
Но сука, перевести звезды другому юзеру через бота нельзя. Вообще. Технически невозможно. API не позволяет.
Можно, конечно, сделать костыль:
Все звезды падают мне
Я раз в месяц руками перевожу продавцам
Или сделать отдельный бот под каждого продавца
Но это шляпа, а не решение.
Я доделаю этого бота для себя. В канале выложу скрипт если кому надо.
А потом буду делать бота на крипте.
Там нет этих ограничений:
Кошелек привязан к пользователю
Транзакции peer-to-peer
Можно автоматически переводить продавцу его долю
Комиссии настраиваются
А текущего бота на Stars я выложу в открытый доступ — код, база, всё. Вдруг кому-то нужно для себя, или кто-то хочет допилить под свои задачи. Забирайте, деплойте, пользуйтесь. Только помните про ограничение.
Кто-то уже ебался со Stars? Есть способы обойти это ограничение? Или крипта реально единственный вариант?
Пишите в комменты, токсичьте, советуйте. Я готов к любой критике.
Telegram — казалось бы, идеальная песочница. Огромное поле для экспериментов и тут же можно транслировать процесс. Я там с самого начала всё пилил, дневник вёл, грабли собирал.
Но с каждым днём как будто всё тяжелее. Когда тестю ботов с компа — они тупо падают, не могут законнектиться. Пинг скачет, сообщения не уходят. В общем, стрёмно становится. И непонятно, это временное или уже тенденция.
Кому интересно, как я там мучился и что в итоге получалось — вот дневник разработки.
Думал про Дискорд. Но это вообще не моё. Муторно, сложно, бесит. Да и тоже заблочен — без впн не зайдешь.
Макс — это просто жесть. Я когда зарегался, попробовал создать канал, что-то там запостить — просто ахерел. Думал: «О, тут технари нужны, работы дохрена, ща начну ботов клепать». А потом выяснилось: Мастер Бот (аналог БотФазера) выдаёт токен только после регистрации с ИНН. То есть нужно ИП. Я просто выпал. К чему они вообще стремятся?
Пока остановился на ВК. Создал паблик, где теперь и буду параллельно вести всю эту историю. Вроде есть возможности для разработки. Как площадка для вещания — пока непонятно. Органика вроде бы существует. Посмотрим, что из этого выйдет.
Вот сюда буду теперь посты катать: [https://vk.com/club236497490].
А вы куда сейчас перебираетесь?)
Пишите в комментариях, обсудим.
