2022-04-13のJS: TypeScript 4.7 Beta、RedwoodJS 1.0、Sanitizer API

[azu]

TypeScript 4.7 Betaがリリースされました。

• Announcing TypeScript 4.7 Beta - TypeScript

TypeScript 4.5 Betaで導入されNightlyでテストされていた、Node.jsのECMAScript Moduleサポートを再び有効化されています。
これに関連してpackage.jsonのexportsフィールドのサポート、"module": "nodenext"、.mts/ctsの拡張子のサポートが追加されています。
また、Node.jsではファイルがモジュールかどうかはpackage.jsonのmoduleフィールドなどによって暗黙的に異なります。
そのため、ファイルがモジュールかどうかを判定方法を制御できるmoduleDetectionオプションも追加して、強制的(force)にモジュールとして認識させることもできるようになっています。

• Add moduleDetection compiler flag to allow for changing how modules are parsed by weswigham · Pull Request #47495 · microsoft/TypeScript

型推論の改善として、Compuatedプロパティに対するコントロールフロー解析の改善、オブジェクトにおける関数の型推論の改善が含まれています。

Genericsの型を指定したaliasを定義できる Instantiation Expressionsをサポート。

const ErrorMap = Map<string, Error>;

• Add moduleDetection compiler flag to allow for changing how modules are parsed by weswigham · Pull Request #47495 · microsoft/TypeScript

inferに対するextendsでの推論条件の追加をサポート、型が共変(in)/反変(out)/不変(in out)なのかを指定できるアノテーションを追加されています。

• Optional variance annotations by ahejlsberg · Pull Request #48240 · microsoft/TypeScript

モジュール解決持の探索方法をカスタマイズするmoduleSuffixesオプションの追加、import typeとReference Commentでresolution-modeを指定できるようになっています。

---

Making of: The Sanitizer API (Nullcon 2022) - Google スライドというスライドでは、HTML Sanitizer APIという策定中/実装中のウェブ標準について紹介されています。

信頼できないHTML文字列のインジェクトするときに、そのHTML文字列をサニタイズしてXSSを防止するためのAPIです。
最初は、HTML文字列をサニタイズしてHTML文字列を返すAPIとして進められていました、HTMLのパースモードの違いなどからパイパスする方法があることが発見されました。(HTML文字列という文字列のフラグメントに対するサニタイズは安全にはできないと分かった)

そのため、innerHTMLとよく似たsetHTMLという新しいAPIが策定され、このAPIにsanitizerを渡す形に変更された話が書かれています。

• Sanitizer API creating mock context-element can cause XSS when used in different context · Issue #42 · WICG/sanitizer-api
• 1669945 - Sanitizer bypass if the sanitized markup is assigned to srcdoc