npm audit pokazuje dziesiątki podatności. Od czego zacząć?
31 marca 2026 dwa przejęte wydania Axiosa dociągnęły złośliwą zależność, która pobierała trojana zdalnego dostępu. W alercie z 20 kwietnia 2026 CISA zaleciła przypiąć sprawdzone, bezpieczne wersje, wymienić tokeny npm i sekrety CI oraz ustawić w .npmrc ignore-scripts i siedmiodniowe min-release‑age (alert CISA).
→Aktualizuję zależności falami, które da się cofnąć, i każdą sprawdzam Twoimi testami. Typowa aplikacja często zajmuje jeden wieczór. Dostajesz czysty plik lock i krótką listę zmian. W październiku 2025 jedna z bibliotek przypinała podatną wersję nodemailera, której żadna aktualizacja nie mogła podmienić, więc wymusiłem poprawioną wersję przez override w npm i jeszcze tego dnia audyt był czysty.
Stary kod w JavaScripcie, którego nikt nie rozumie. Przepisać?
Oddanie go samemu agentowi AI to loteria. W ankiecie Stack Overflow z 2026 roku prawie połowa programistów (48%) odpowiedziała, że ufa wynikom AI wtedy, gdy może je łatwo sprawdzić (Stack Overflow 2026). A stary kod, którego nikt nie rozumie, to właśnie kod, którego nie da się łatwo sprawdzić.
→Refaktoruję pod osłoną testów: Playwright pilnuje ścieżek, które zarabiają, agent robi mechaniczną robotę, a każdy merge zatwierdza człowiek. Bez przepisywania od zera, strona cały czas działa. We wrześniu 2026 część sesji w Safari gubiła lokalną bazę aplikacji; zamiast proponowanej na start ryzykownej migracji magazynu udowodniłem, że prawdziwą przyczyną jest pomocniczy worker spóźniający się na 4‑sekundowy limit startu, zapisałem jego pliki w cache i dodałem jedną ponowną próbę, a pierwszy raport z produkcji to potwierdził.
Masz to u siebie? Umów bezpłatne 30 minut →
Brak dokumentacji, a agent AI ciągle psuje kod
W teście opublikowanym przez Agentic AI Foundation w lipcu 2026 dwunastolinijkowy AGENTS.md, plik, który mówi agentom, jak działa projekt, skrócił czas pracy agenta o 27%, a jego zmiany o 26% przy niejasnym zadaniu. Bez niego dwa z pięciu przebiegów zadania na wielu plikach zbaczały z kursu: od nowa przeszukiwały repozytorium albo uruchamiały niezamówiony build produkcyjny (AAIF, 22 lipca 2026). Bez spisanych zasad zgadują i nowi ludzie w zespole, i agenci.
→Opis architektury, instrukcje operacyjne i AGENTS.md piszę na podstawie samego kodu, a potem sprawdzam je na prawdziwym zadaniu dla agenta. Jeśli agent się pomyli, poprawiam dokumentację. W 2026 dałem agentom kodującym spisane reguły, poprawiłem dokumentację, która rozjechała się z kodem, a reguły, które ciągle były łamane, zamieniłem na automatyczne sprawdzenia.
Dlaczego nasza strona tak wolno działa na telefonach?
W 2025 tylko 48% stron mobilnych przeszło Core Web Vitals, a mediana Total Blocking Time na telefonach wzrosła o 58% do 1916 ms, czyli prawie dwóch sekund, w których strona nie reaguje na dotyk (Web Almanac 2025).
→Najpierw mierzę na danych prawdziwych użytkowników w PostHogu, potem tnę trzy typowe koszty: kaskady żądań, wagę paczek JavaScriptu i pracę głównego wątku. Wynik przed i po widzisz na jednym wykresie. W 2023 samoobsługowe demo sprzedażowe musiało działać szybko na żywym spotkaniu; najpierw je zmierzyłem, potem ograniczyłem zapytania i trafiło do potencjalnego klienta w terminie.
