Лекции pikov.expert
Исходный репозиторий открытого учебного проекта pikov.expert — каталога авторских веб-лекций и материалов Виталия Пикова по информационной безопасности, управлению уязвимостями, РБПО/SSDLC, SCA/SBOM, операционным системам, технической защите информации и прикладной разработке.
Исходный код · Сообщить о проблеме
Состояние репозитория
Актуально по реестру _PROJECT/lectures.json на 11 октября 2026 года:
| Показатель | Значение |
|---|
| Записей в каталоге | 43 |
| Канонических папок материалов | 39 |
| Тематических разделов на главной | 5 |
ready-local | 23 |
published-snapshot | 20 |
Уникальных URL в sitemap.xml вместе с корнем | 45 |
Несколько записей могут вести в одну папку: например, базовый пентест, углублённый пентест, статический анализ и фаззинг представлены страницами или якорями домена new-courses.pikov.expert.
Источники истины
Статусы отражают происхождение локальной рабочей версии, а не доступность сайта в данный момент:
ready-local — в канонической папке находится рабочий локальный материал из подготовленного исходного комплекта;published-snapshot — локальный index.html первоначально получен с опубликованной страницы и далее сопровождается в репозитории.
Карта лекций и материалов
Структура
.
├── index.html # главный каталог
├── ru/index.html # русская версия главного каталога
├── .htaccess
├── robots.txt
├── sitemap.xml
├── _PROJECT/
│ ├── lectures.json # канонический реестр
│ ├── OPERATIONS_RUNBOOK.md # эксплуатационный порядок
│ ├── update-site-control-files.ps1 # контрольные файлы
│ ├── smoke-check.ps1 # статические проверки
│ ├── build-release.ps1 # релизные ZIP-архивы
│ ├── browser-qa.mjs # локальная браузерная QA
│ ├── browser-qa-online.mjs # браузерная QA опубликованных URL
│ ├── hosting-check.ps1 # HTTP-проверка хостинга
│ └── deploy-hosting.ps1 # адресная или полная публикация
├── astra-intro/ # канонические папки сайтов
├── scaner-vs/
├── 27-07-2026/
├── 29-07-2026/
├── appsec-lections/
├── ...
├── spdx/
├── LICENSE.md
├── LICENSE-CODE.md
├── LICENSE-CONTENT.md
└── NOTICE.md
Каждая каноническая папка представляет отдельный поддомен либо набор страниц одного поддомена. Основной вход — index.html; рядом могут находиться локальные стили, изображения и разрешённые к распространению учебные материалы.
Требования к рабочему месту
- Git и Windows PowerShell 5.1 (
powershell.exe) — для проверки и сборки;
- Node.js 18+ и npm — для браузерной QA;
- GitHub CLI
gh — для проверки workflow точного commit;
ssh и scp с настроенным alias pikov-hosting — только для публикации;- на сервере публикации: Bash, Python 3,
sha256sum, tar, rsync и стандартные Unix-утилиты.
Python-зависимости внутри учебных папок 27-07-2026/code и 29-07-2026/code не нужны для сборки статического сайта.
Локальная проверка и сборка
Перед работой прочитайте _PROJECT/OPERATIONS_RUNBOOK.md и убедитесь, что не смешиваете свои изменения с чужими незавершёнными файлами.
Обязательная цепочка для изменений сайта выполняется в таком порядке:
$releaseDate = '<YYYY-MM-DD>'
$releaseIndex = ".\_PROJECT\RELEASE_INDEX_$releaseDate.json"
powershell -NoProfile -ExecutionPolicy Bypass -File .\_PROJECT\update-site-control-files.ps1
powershell -NoProfile -ExecutionPolicy Bypass -File .\_PROJECT\smoke-check.ps1
powershell -NoProfile -ExecutionPolicy Bypass -File .\_PROJECT\build-release.ps1 -ReleaseDate $releaseDate -FailOnIssues
powershell -NoProfile -ExecutionPolicy Bypass -File .\_PROJECT\test-public-release-independence.ps1 -ReleaseIndex $releaseIndex
$env:RELEASE_DATE=$releaseDate
node .\_PROJECT\browser-qa.mjs
Ожидаемый результат: SMOKE OK, RELEASE BUILD OK,
PUBLIC INDEPENDENCE TEST OK, BROWSER QA OK, staticIssues=0 и отсутствие
ошибок git diff --check.
Такая сборка является candidate: она содержит commit/ref и per-target
sourceTreeSha256, но всегда имеет policyDecision=deny-deploy и
deployable=false. Это позволяет проверять изменённое дерево, не превращая
непринятый результат в production artifact. Accepted release создаётся только
из exact принятого SHA отдельной командой из runbook.
update-site-control-files.ps1 перезаписывает .htaccess, robots.txt и sitemap.xml корня и доменных папок, поэтому после его запуска необходимо просмотреть diff до commit.
Для браузерной QA нужен Node.js 18+ и Playwright с Chromium. Локальные зависимости можно установить в уже исключённую из Git служебную папку:
npm install --prefix .\_PROJECT\.browser-node --save-exact [email protected]
npm exec --prefix .\_PROJECT\.browser-node -- playwright install chromium
Если Playwright установлен в другом месте, путь к его node_modules можно передать через переменную PLAYWRIGHT_NODE_MODULES.
Публикация
Публикация выполняется только после merge в main, успешного CI exact принятого
SHA и повторной accepted-сборки из чистого tracked tree. build-release.ps1
создаёт обязательный RELEASE_INDEX_<дата>.json; deploy принимает только index
с releaseKind=accepted, policyDecision=allow-deploy, deployable=true и тем
же exact SHA.
$releaseDate = '<YYYY-MM-DD>'
$acceptedSha = (git rev-parse HEAD).Trim()
powershell -NoProfile -ExecutionPolicy Bypass -File .\_PROJECT\build-release.ps1 -ReleaseDate $releaseDate -AcceptedSourceCommit $acceptedSha -FailOnIssues
Для обычного адресного обновления корня и выбранного поддомена безопаснее явно ограничить область:
& .\_PROJECT\deploy-hosting.ps1 -ReleaseDate $releaseDate -ExpectedSourceCommit $acceptedSha -OnlyDomains @('pikov.expert', 'example.pikov.expert') -KeepRemoteDeployRoot
Полная публикация всех целей текущего release index — только когда это действительно входит в задачу:
powershell -NoProfile -ExecutionPolicy Bypass -File .\_PROJECT\deploy-hosting.ps1 -ReleaseDate $releaseDate -ExpectedSourceCommit $acceptedSha -KeepRemoteDeployRoot
Без -OnlyDomains скрипт обрабатывает все цели release index. На сервере
содержимое каждой выбранной цели синхронизируется командой с семантикой
rsync --delete: файлы, которых нет в релизе, удаляются. Скрипт использует SSH
alias pikov-hosting, сверяет exact commit и archive hashes, создаёт временные
резервные архивы и запускает hosting-check.ps1. Каждая попытка сохраняет
отдельное evidence
HOSTING_DEPLOY_<date>_<stamp>_<shortsha>.md с UTC, статусом и per-target
source/archive hashes. -KeepRemoteDeployRoot удерживает backups до
независимого решения; исполнимый rollback через clean detached worktree
previous accepted SHA описан в runbook.
Повторная HTTP- и браузерная проверка уже опубликованного сайта без деплоя:
powershell -NoProfile -ExecutionPolicy Bypass -File .\_PROJECT\hosting-check.ps1
node .\_PROJECT\browser-qa-online.mjs
GitHub Actions при push в main и в pull request:
- проверяет синтаксис служебных PowerShell-скриптов;
- запускает
smoke-check.ps1;
- для pull request/feature собирает non-deployable candidate и подтверждает,
что
PrepareOnly отклоняет его;
- для push в
main собирает accepted release exact GITHUB_SHA и проверяет
deploy-hosting.ps1 -ExpectedSourceCommit <GITHUB_SHA> -PrepareOnly без
обращения к хостингу.
CI не публикует сайт и не заменяет локальную браузерную и последующую онлайн-проверку.
Рекомендуемый production gate: строгие локальные проверки → commit только файлов текущей задачи → push → успешный workflow для точного SHA → адресный deploy → live QA. Не используйте широкое git add -A в рабочем дереве с посторонними изменениями.
Текущий live QA не является полной проверкой TLS и мобильной адаптивности: предупреждения hosting-check.ps1 не всегда дают ненулевой код, а browser-qa-online.mjs работает с одним desktop viewport и допускает HTTPS-ошибки браузерного контекста. Сертификат, защитные HTTP-заголовки и ключевые мобильные экраны следует проверять отдельно.
Что хранится в Git
В репозитории находятся исходные HTML-страницы, собственные ресурсы сайта, служебные скрипты и разрешённые учебные материалы. Файл .gitignore исключает, в частности:
- воспроизводимые каталоги
release, временные staging-папки, отчёты QA и журналы;
- локальные зависимости Playwright и состояние редакторов/агентов;
- универсальные ZIP-архивы и высокорисковые сторонние форматы (
PDF, PPTX, DOCX, XLSX, EPS) без отдельного решения о правах;
- преподавательские материалы, ответы и сторонние раздаточные комплекты.
Осознанные исключения из общих ignore-правил:
- три уже отслеживаемых офлайн-комплекта практикумов Сканер-ВС в
scaner-vs/materials/downloads/: all-labs-markdown.zip, scanner-labs-markdown.zip и inspector-labs-markdown.zip; они нужны слушателям для работы без доступа к сайту;
- зафиксированное свидетельство браузерной проверки
_PROJECT/BROWSER_TESTS_2026-08-05_SCANER_VS.md.
Новые архивы и локальные отчёты QA не добавляются автоматически: для каждого такого файла требуется отдельное решение о назначении, правах и необходимости хранения в Git.
Лицензирование
Лицензия на оригинальный контент не распространяется автоматически на товарные знаки, тексты стандартов, документацию производителей, снимки экранов, логотипы и другие сторонние объекты. Перед добавлением таких файлов необходимо отдельно подтвердить источник, право на распространение и требуемую атрибуцию.
Как обновлять каталог
При добавлении или изменении материала:
- обновите каноническую папку и
_PROJECT/lectures.json;
- синхронизируйте карточку в корневом
index.html;
- выполните обязательную локальную цепочку в порядке из runbook;
- проверьте только относящиеся к задаче изменения перед commit;
- после push дождитесь успешного завершения workflow Site checks.
Автор
Виталий Александрович Пиков
Информационная безопасность, РБПО, SSDLC, SCA/SBOM, DevSecOps, системное программирование и учебные материалы по ИТ.
