八百万のOSS

nginxは「速いWebサーバー」というより、Webアプリケーションの前段でクライアントとの通信を受け持つ定番OSSです。遅いクライアント、大量接続、静的ファイル配信、gzip圧縮、バッファリング、キャッシュをnginxに任せることで、アプリケーションサーバーは本来の処理に集中できます。今回は、C10K問題、イベント駆動、ノンブロッキングI/Oといったnginxの基本的な考え方から、静的ファイル配信、gzip、upstream keepalive、古いコピペ設定が変わりつつある話までを取り上げました。「とりあえずnginxを置く」と言われがちな理由を、設定例の暗記ではなく、Webアプリケーションを楽にするための役割分担として整理していきます。EnvoyやPingoraとの違い、Cloudflareで使われてきた実績、そして「全部入り」はUnix哲学に反するのか、という話も取り上げています。nginxをなんとなく使っている人にも、設定の意味を改めて整理したい人にも楽しめる回です。- nginx: https://nginx.org/- freenginx: https://freenginx.org/- NGINX Plus（エンタープライズ版）: https://www.f5.com/products/nginx/nginx-plus- Envoy: https://www.envoyproxy.io/- Pingora（Cloudflareのプロキシ実装）: https://github.com/cloudflare/pingora- H2O（Fastlyで使われるHTTPサーバー）: https://github.com/h2o/h2o- PHP: https://www.php.net/- Node.js: https://nodejs.org/- AWS ALB（Application Load Balancer）: https://aws.amazon.com/elasticloadbalancing/application-load-balancer/- Cloudflare: https://www.cloudflare.com/- Fastly: https://www.fastly.com/- Mercurial: https://www.mercurial-scm.org/- OpenSSL: https://www.openssl.org/- Redis: https://redis.io/- Go: https://go.dev/- epoll（Linux man page）: https://man7.org/linux/man-pages/man7/epoll.7.html

毎日使っているのに、ブラウザが中で何をしているか実はよく知らない——そんな話から始まる今回。catatsuyが取り上げるのは、ChromiumやFirefoxが裏側で扱っている「巨大なデータ」です。ブラウザはHTMLを描画するだけでなく、HTTPSへ強制するドメイン一覧、危険URLのリスト、証明書の失効情報、よく使われるリソースURLパターンなど、さまざまな補助データを持っています。しかし、それらを単純な巨大リストとしてそのまま持つのは難しく、毎回サーバーへ問い合わせるのもレイテンシやプライバシーの問題があります。今回はHSTS Preload、Google Safe Browsing、CRLite、Pervasive resource URL patternsなどを題材に、巨大なデータをブラウザがどう持ち、どう配り、どう高速に判定しているのかを話しました。HSTS Preloadのドメイン一覧とsuffix判定、Safe Browsingのhash prefix、CRLiteのBloom Filter cascade、そしてURL patternによるリソースURLの扱いなど、暗号やTLSだけではない、ブラウザを支えるデータ構造と配布設計を覗いていきます。trie treeやBloom Filterといったデータ構造の話も出てきますが、完全な仕様解説ではなく、ブラウザの裏側にある設計の面白さを見ていく回です。ブラウザの中身に興味が湧いてくる、盛りだくさんなお話です。* Chromium: https://www.chromium.org/* Firefox: https://www.mozilla.org/firefox/* HSTS Preload: https://hstspreload.org/* Google Safe Browsing: https://safebrowsing.google.com/* CRLite（Firefox）: https://github.com/mozilla/crlite* Certificate Transparency: https://certificate.transparency.dev/* Trie: https://en.wikipedia.org/wiki/Trie* Bloom Filter: https://en.wikipedia.org/wiki/Bloom_filter* Pervasive resource URL patterns: https://chromium.googlesource.com/chromium/src/+/HEAD/services/network/pervasive_resources* Brotli: https://github.com/google/brotli* Zstandard (zstd): https://github.com/facebook/zstd* Hono: https://hono.dev/* jQuery: https://jquery.com/* Rust: https://www.rust-lang.org/

Linuxを触っていれば必ずお世話になっているのに、意外と中身を知らないsystemd。henteko の「OS起動時にプロセスを立ち上げる便利ツールでしょ?」という理解から話はスタートしますが、catatsuy が解き明かすその正体は想像のはるか上。依存関係の管理、死活監視、リソース制御、ソケットアクティベーション、cronより柔軟なタイマーまで——「何ができないのか」を探すレベルです。Linuxサーバーを運用する人なら絶対に聞いてほしい一本です。https://github.com/systemd/systemd

「ソースを公開する方がリスクが高い」——そんな時代が本当に来てしまったのかもしれません。攻撃者がAIでOSSをスキャンして自動で弱点を突いてくる今、守る我々もAIで立ち向かうしかない。xz事件からHonoのAI Slop問題、TanStackのサプライチェーン攻撃、Takumi Guardのような新しい防御サービスまで、catatsuy が実体験を交えて語ります。なぜ今、狙われているのが「開発者本人」なのか。OSSに関わるすべてのエンジニアに聞いてほしい一本です。## xz* Everything I Know About the XZ Backdoor - https://boehs.org/node/everything-i-know-about-the-xz-backdoor* CVE-2024-3094 / Ubuntu security page - https://ubuntu.com/security/CVE-2024-3094## Hono - OSSにおけるAI Slop問題の何が問題なのか？* https://zenn.dev/yusukebe/articles/3fd5bc6ea341c9## TanStackのnpmサプライチェーン攻撃とGitHub Actionsの危険な権限設計* TanStack npm supply-chain compromise - https://tanstack.com/blog/npm-supply-chain-compromise-postmortem* npm staged publishing - https://docs.npmjs.com/staged-publishing/* pull_request_target の背景・リスクに関するGitHub Community discussion - https://github.com/orgs/community/discussions/179107## axios ソフトウェアサプライチェーン攻撃の概要と対応指針* https://blog.flatt.tech/entry/axios_compromise## tj-actions/changed-files CVE-2025-30066* https://www.cisa.gov/news-events/alerts/2025/03/18/supply-chain-compromise-third-party-tj-actionschanged-files-cve-2025-30066-and-reviewdogaction## Takumi Guard* https://flatt.tech/takumi/features/guard

EC2にPHPやRailsをポンと置いて運用している現場、ファイルがこっそり書き換えられたらどうやって気付きますか？ OSS「kekkai」は、ファイルごとのハッシュ値で改ざんを検知するシンプルなCLIツール。なぜエージェント型ではなくCLIなのか、S3とIAMでハッシュをどう守るのか、.gitignoreを敢えて共有しない設計思想までを丁寧に解説します。Docker時代に忘れられがちな「ファイル配置型」サーバーのセキュリティが気になる人にぜひ。https://github.com/catatsuy/kekkai

apt で入る nginx で大抵は事足りる。でも「この機能を使いたい」「最新の OpenSSL じゃないと動かない」となった瞬間、自分でコンパイルする世界が待っています。今回は catatsuy がメンテナンスする nginx-build を題材に、henteko が「そもそも、なんでビルドが必要なの？」と素朴に切り込みます。スタティックモジュールの話から、catatsuy が個人 VPS で ECH を動かすために加えた機能まで、nginx のディープな運用に興味がある人にぜひ。https://github.com/cubicdaiya/nginx-build

OSSを作って公開しても、誰にも届かずに埋もれていく──そんな経験はありませんか。今回はcatatsuyが作ったGo製CLIツール「Purl」がGitHubで200超のスターを集めた裏側を聞きました。READMEに動画を貼った理由、英語圏に向けて発信する意味、そして「自分が一番のユーザーであること」が改善の芯を食う、というドッグフーディングの話まで。ツールを作って広めたい人、自作OSSを育てている人にぜひ聞いてほしい回です。https://github.com/catatsuy/purl