Présentation de TinyJS, un framework pour créer des applications de bureau à partir de HTML, CSS et JavaScript en s’appuyant sur la WebView du système et un pont vers txiki.js. Son principal atout est la taille réduite des exécutables, autour de 6 Mo, bien inférieure à Electron. L’auteur montre le fonctionnement du scaffold, l’accès aux API système et un exemple avec AlpineJS qui transforme un flux RSS en HTML en utilisant tiny.fetch pour contourner les limitations CORS du navigateur.

Un handler postMessage d’iframe ne doit pas faire confiance aux messages reçus par défaut. L’article montre trois attaques concrètes : origine incorrecte, mauvaise fenêtre malgré la bonne origine, et données valides mais dangereuses. Il recommande de vérifier strictement event.origin, de comparer event.source avec le contentWindow attendu, puis de valider et borner le payload avant toute action. Côté émission, il conseille aussi d’éviter '*' et de cibler une origine précise.

Guide pratique pour comprendre et diagnostiquer la boucle d’événements JavaScript en suivant précisément la pile d’appels, les microtâches et les files de tâches. Il montre pourquoi les promesses s’exécutent avant setTimeout, comment repérer une « microtask starvation », et compare le fonctionnement des navigateurs avec celui de Node.js. L’article propose aussi une méthode de traçage pas à pas et des techniques de débogage avec Chrome DevTools, l’inspecteur Node et async_hooks.