کدلپر | مرجع مهندسی نرم‌افزار، توسعه و فناوری

این مستندات بیشتر بر روی مفاهیم زبانی و APIهای استاندارد تمرکز دارد و برای یادگیری فریم‌ورک‌های خاص سازمانی مانند Spring Boot نیاز به منابع تکمیلی خواهید داشت.
یادگیری برنامه‌نویسی نیازمند تمرین عملی است و این مستندات به تنهایی جایگزین نوشتن کد و انجام پروژه‌های واقعی نمی‌شود.

مقایسه با سایر منابع آموزشی

در مقایسه با کتاب‌های چاپی قدیمی که اغلب ترجمه‌های سنگین و نامفهومی دارند، این مستندات ساختاری مدرن، دسته‌بندی شده و کاربردی دارد. همچنین در مقایسه با ویدیوهای آموزشی پراکنده در اینترنت، این مرجع دارای یک مسیر یادگیری خطی و منسجم است که از سردرگمی مبتدیان جلوگیری می‌کند. اگرچه منابع انگلیسی رسمی کامل‌ترین مرجع ممکن هستند، اما این نسخه فارسی توانسته است تعادل بسیار خوبی میان دقت فنی و سادگی بیان ایجاد کند و به عنوان یک مکمل قدرتمند عمل نماید.

جمع‌بندی نهایی و نگاه شخصی

به عنوان کسی که سال‌ها در فضای توسعه نرم‌افزار فعالیت کرده‌ام، همیشه جای خالی یک مرجع فارسی منسجم، به‌روز و فنی را برای زبان جاوا احساس می‌کردم. انتشار این مستندات در پلتفرم Codoloper یک گام بلند و ارزشمند برای جامعه برنامه‌نویسی کشور است. صادقانه بگویم، هیچ منبع مکتوبی به تنهایی جایگزین تجربه عملی، دیباگ کردن کدها و مطالعه مستندات اصلی در سطوح بسیار پیشرفته نمی‌شود. اما این مجموعه فارسی می‌تواند به عنوان یک پل ارتباطی قدرتمند، شما را از سطح مقدماتی به درک عمیق مفاهیم مدرن جاوا برساند و از سردرگمی‌های رایج جلوگیری کند. امیدواریم این مستندات برای شما مفید باشد و مسیر یادگیری‌تان را هموارتر و لذت‌بخش‌تر کند.

سوالات متداول

آیا این مستندات برای افراد کاملاً مبتدی مناسب است؟
بله، سرفصل‌ها از نصب و راه‌اندازی محیط توسعه و مفاهیم اولیه شی‌گرایی شروع می‌شوند و به تدریج و با شیب ملایمی به مباحث پیشرفته می‌رسند.

آیا مباحث نسخه‌های جدید جاوا نیز پوشش داده شده است؟
بله، ویژگی‌های مدرن جاوا مانند Threadهای مجازی، تطبیق الگو و API جدید FFM در این مستندات به طور ویژه و با رویکردی کاربردی مورد بررسی قرار گرفته‌اند.

چگونه می‌توانم به این مستندات دسترسی پیدا کنم؟
این مستندات به صورت کامل در پلتفرم Codoloper منتشر شده و با یک جست‌وجوی ساده در اینترنت قابل دسترسی و مطالعه است. همینجا هم با کلیک روی مستندات در نویگیشن بار میتوانید به راحتی به آن دسترسی داشته باشید.

آیا این منبع برای آمادگی در مصاحبه‌های شغلی کافی است؟
این مستندات پایه‌های فنی و مفاهیم کلیدی را به خوبی پوشش می‌دهد و برای مرور سریع مفاهیم قبل از مصاحبه بسیار عالی است. با این حال، توصیه می‌شود آن را با حل مسائل الگوریتمی و پیاده‌سازی پروژه‌های واقعی تکمیل کنید.

وردپرس ۷.۰.۲: اگه آپدیت نکردی، سایتت الان در معرض خطره

۱۷ جولای ۲۰۲۶، تیم وردپرس یه آپدیت اضطراری منتشر کرد. نه یه آپدیت روتین — یه patch برای دو آسیب‌پذیری که الان به‌صورت فعال دارن ازشون برای حمله استفاده می‌شه.

اگه سایتت روی وردپرس 6.8.0 تا 7.0.1 داره اجرا می‌شه، این مقاله رو ادامه بده. اگه نه، باز هم بخون — چون احتمالاً یه سایت دیگه‌ای داری یا می‌شناسی که باید بدونه.

دو آسیب‌پذیری که باید بدونی

اول: SQL Injection در WP_Query

شناسه‌ی رسمی این آسیب‌پذیری CVE-2026-60137 هست. وردپرس پارامتر author__not_in رو که برای query کردن پست‌ها استفاده می‌شه، قبل از فرستادن به دیتابیس درست sanitize نمی‌کرد. یعنی یه مهاجم می‌تونست از طریق یه درخواست HTTP ساده، دستورات SQL دلخواه به دیتابیس بفرسته و اطلاعات رو بخونه یا تغییر بده — بدون هیچ لاگین یا دسترسی خاصی.

این باگ وردپرس 6.8.0 به بعد رو تحت تأثیر می‌ذاره.

دوم: REST API batch endpoint و اجرای کد از راه دور

شناسه‌ی رسمی این یکی CVE-2026-63030 هست و بدتره. endpoint مربوط به batch requests توی REST API وردپرس (/wp-json/batch/v1) یه مشکل route confusion داشت — یعنی یه درخواست بد‌شکل می‌تونست سیستم رو گول بزنه که یه callback غیرمجاز رو با permission اشتباه اجرا کنه.

وقتی این با SQL injection ترکیب می‌شه، نتیجه‌اش اجرای کد از راه دوره — بدون نیاز به لاگین، بدون نیاز به پلاگین خاص، روی یه وردپرس کاملاً پیش‌فرض. محققای Searchlight Cyber که این زنجیره رو کشف کردن، اسمش رو WP2Shell گذاشتن. یه proof-of-concept عمومی هم الان روی GitHub هست — یعنی هر کسی می‌تونه این حمله رو اجرا کنه.

این باگ وردپرس 6.9.0 به بعد رو تحت تأثیر می‌ذاره.

نسخه‌ات کجاست، چی باید بکنی

نسخه	خطر	آپدیت به
قبل از 6.8.0	تحت تأثیر نیست	—
6.8.0 تا 6.8.5	SQL injection	6.8.6
6.9.0 تا 6.9.4	SQL injection + RCE	6.9.5
7.0.0 تا 7.0.1	SQL injection + RCE	7.0.2
7.1 beta	SQL injection + RCE	7.1 beta2

برای چک کردن نسخه: پایین هر صفحه‌ی admin وردپرس نسخه رو می‌بینی، یا از Dashboard → Updates برو.

چطور آپدیت کنی

از Dashboard → Updates برو و دکمه‌ی Update to 7.0.2 (یا نسخه‌ی مربوط به branch ات) رو بزن. وردپرس به‌خاطر شدت این آسیب‌پذیری، برای سایت‌های تحت تأثیر forced auto-update فعال کرده — ولی حتماً خودت هم تأیید کن که آپدیت انجام شده. auto-update همیشه کامل اجرا نمی‌شه.

بعد از آپدیت، یه بار به Dashboard → Updates برگرد و مطمئن شو نسخه‌ی جدید نصب شده.

اگه الان نمی‌تونی آپدیت کنی

اگه یه دلیل فنی هست که آپدیت فوری ممکن نیست (مثلاً نگران compatibility با پلاگین هستی)، دو اقدام موقت می‌تونی انجام بدی:

در WAF یا web server ات endpoint زیر رو block کن:

/wp-json/batch/v1
/?rest_route=/batch/v1

این دسترسی به batch endpoint رو می‌بنده و زنجیره‌ی RCE رو قطع می‌کنه. Cloudflare این rule رو از ساعت ۱۷:۰۳ UTC روز ۱۷ جولای برای همه‌ی کاربراش — حتی پلن رایگان — فعال کرده.

ولی این یه راه‌حل موقته، نه جایگزین آپدیت. با این آسیب‌پذیری‌ها، ساعت‌ها اهمیت دارن.

چرا این بار جدی‌تر از معموله

اکثر آسیب‌پذیری‌های وردپرس از پلاگین‌ها یا تم‌ها میان — نه از هسته‌ی خود وردپرس. این یکی متفاوته: مشکل توی core هست، یعنی هر نصب وردپرس تحت تأثیر روی هر سرور، با هر پلاگین و تنظیماتی، هدف بالقوه‌ایه. نیازی به هیچ تعاملی از طرف کاربر نیست، نیازی به guess کردن رمز نیست — یه درخواست HTTP ناشناس کافیه.

PoC عمومی بودن به این معنیه که حملات الان فعال‌ترن. اگه هنوز آپدیت نکردی، این رو جدی بگیر.

دیپلوی روی سرور ایران بدون اینترنت بین‌الملل یا نت ملی

یه سناریو که هر توسعه‌دهنده‌ی ایرانی باهاش آشناست: سرور گرفتی، همه چیز رو آپلود کردی، npm install می‌زنی — و بعد پنج دقیقه نشستی نگاه می‌کنی که cursor چشمک می‌زنه و چیزی دانلود نمی‌شه. یا بدتر: همه چیز کار می‌کنه، بعد یه روز نت قطع می‌شه و نمی‌تونی حتی یه dependency ساده آپدیت کنی.

قطع اینترنت بین‌الملل یه اتفاق خوب نیست و نباید عادی‌اش کنیم. ولی واقعیت اینه که این اتفاق می‌افته — گاهی جند هفته، گاهی بیشتر — و اگه سرورت وابسته به سرورهای خارجی باشه، یه قطعی ساده می‌تونه کل deploy و maintenance رو فلج کنه. این مقاله برای اونه که اگه یه روز اتفاق افتاد، آماده باشی.

مشکل اینجاست که اکثر ابزارها، package managerها، و حتی خود لینوکس به‌صورت پیش‌فرض از سرورهای خارج دانلود می‌کنن. اگه قبل از دیپلوی این‌ها رو تنظیم نکنی، اولین باری که نت ملی جدا می‌شه — یا از همون اول اگه سرورت به اینترنت بین‌الملل وصل نیست — همه چیز می‌شکنه.

اینجا یه checklist عملی از چیزهایی که باید انجام بشه می‌آورم، بر اساس تجربه‌ی مستقیم.

۱. میرور خود توزیع لینوکس

اولین و مهم‌ترین کار اینه که میرور اصلی سیستم عاملت رو عوض کنی. وقتی apt update یا pacman -Syu می‌زنی، باید از یه آدرس ایرانی دانلود کنه.

برای اوبونتو، فایل /etc/apt/sources.list رو ویرایش کن و آدرس‌های archive.ubuntu.com رو با میرور ایرانی جایگزین کن. برای آرچ، /etc/pacman.d/mirrorlist رو ویرایش کن.

لیست میرورهای قابل اعتماد ایرانی رو می‌تونی توی devneeds.ir پیدا کنی. ArvanCloud معمولاً مطمئن‌ترین انتخابه از نظر uptime و پوشش پکیج‌ها.

# بعد از تغییر میرور اوبونتو
sudo apt update && sudo apt upgrade

۲. میرور Docker

Docker هم به‌صورت پیش‌فرض از docker.io و registry-1.docker.io pull می‌کنه. این رو باید توی فایل daemon.json عوض کنی:

sudo nano /etc/docker/daemon.json

{
  "registry-mirrors": ["https://mirror.arvancloud.ir"]
}

بعد Docker رو restart کن:

sudo systemctl restart docker

از تجربه‌ی شخصی: ArvanCloud برای مدت طولانی مطمئن‌ترین انتخاب بود، ولی اخیراً Liara هم عملکرد بهتری داشته. هر دو رو چک کن و ببین کدوم توی لحظه‌ای که داری کار می‌کنی بهتر جواب می‌ده.

۳. میرور پکیج منیجرهای اپلیکیشن

باید مطمعن بشی که هر پکیج منیجری که استفاده میکنی داره از میرور های داخل ایران استفاده میکنه.

مثال میزنم اگر از npm استفاده میکنی برای پکیج های جاوا اسکریپتی / تایپ اسکریپتی باید بری میرور ایران ان پی ام رو پیدا کنی و ست کنی. چیزایی که الان کار میکنن لیارا و رانفلر هستند اما از اونجایی که رانفلر پول میگیره فقط در صورتی استفاده کنید که خیلی سرعت براتون مهمه وگرنه میرور های دیگه کارتون راه میندازن.

از پی اچ چی دارید و از کامپوزر استفاده میکنید همینطور.

کارگو برای راست. ناگت برای سی شارپ و هر چیزی خلاصه ببینید پکیج منیجرتون چیه و میرورشو به روشی که توضیح میدن ست کنید.

اگر پکیج منیجرتون لینک دانلود و یا وریفای پکیج هارو ذخیره میکنه در جایی - مثلا npm در package-lock اینکارو میکنه - مطمعن شید که اون لینک ها هم آپدین شدن مثلا برای ان پی ام:

npm install --package-lock-only --registry=https://registry.npmjs.org/

۴. پایگاه داده‌هایی که میرور سیستم عامل ندارن

اینجاست که ماجرا کمی دردسرتر می‌شه. مثلاً آرچ PostgreSQL 17 به بعد رو توی repo رسمیش نداره. معمولاً باید میرور رسمی خود PostgreSQL رو اضافه کنی — ولی اون میرور از ایران جواب نمی‌ده.

راه‌حل: به devneeds.ir مراجعه کن. میرور ایرانی از نسخه‌های مختلف PostgreSQL اونجا هست که از نت ملی هم پاسخگوئه.

برای اوبونتو، PostgreSQL repository رسمی معمولاً توی apt بدون مشکل کار می‌کنه — ولی اگه روی نت ملی isolated هستی، اینجا هم باید میرور ایرانی پیدا کنی.

۵. تست روی سیستم خودت قبل از deploy

یه قدم که خیلی‌ها رد می‌کنن اینه که همه‌ی این تنظیمات رو روی ماشین محلی خودت هم چک کنی. اگه روی ماشین خودت با همین میرورها npm install بزنی و همه چیز دانلود بشه، با اطمینان بیشتری می‌تونی روی سرور هم همین کار رو بکنی.

این یه شبیه‌سازی ساده‌ست: مطمئن می‌شی که lockfile ها درست هستن و هیچ dependency ای نیست که فقط از خارج قابل دسترسه.

SSL روی سرور ایرانی

این یه بحث جداست — و صادقانه بگم، راحت نیست. Let's Encrypt از ایران مشکل داره، و خیلی از راه‌حل‌های خودکار SSL روی شبکه‌ی ملی کار نمی‌کنن. devneeds.ir مستندات مربوط به ست کردن SSL در این شرایط رو داره — بهتره مستقیم از اونجا بخونی چون وضعیت ممکنه تغییر کرده باشه و اطلاعات به‌روز باشه.

شوخی نیست — دردسره. ولی مجبوریم.

خلاصه‌ی checklist

قبل از deploy روی هر سرور ایرانی:

میرور توزیع لینوکس → devneeds.ir یا ArvanCloud
میرور Docker daemon → ArvanCloud یا Liara
میرور پکیج منیجرها (npm، pip، Composer و بقیه) → liara.ir/mirrors
lockfile ها رو پاک و rebuild کن تا لینک‌ها آپدیت بشن
پایگاه داده‌های خارج از repo سیستم عامل → devneeds.ir چک کن
روی ماشین محلی با همین میرورها تست کن قبل از deploy

اگه این‌ها رو انجام بدی، احتمال اینکه deploy ات بدون مشکل بره بالاست — و مهم‌تر از اون، اگه یه روز نت قطع شد، می‌تونی بدون وابستگی به اینترنت خارجی آپدیت و نگهداری کنی. این آمادگی نباید ضروری باشه، ولی متأسفانه هست.

مدل‌های MiMo شیائومی: وقتی یه غول سخت‌افزاری وارد بازی LLM می‌شه

شیائومی بیشتر با گوشی و لوازم هوشمند شناخته می‌شه — ولی از اوایل ۲۰۲۶ یه سری مدل زبانی با برند MiMo منتشر کرده که توی جامعه‌ی مدل‌های open-weight سروصدا کرده. نسل فعلی شامل MiMo-V2، V2-Pro، V2-Flash، و جدیدترین V2.5 می‌شه — با نسخه‌های Mixture-of-Experts که تعداد پارامترهاشون توی نسخه‌های Pro به یه تریلیون پارامتر می‌رسه.

قبل از هر چیز، یه تجربه‌ی مستقیم:

تست فارسی: جایی که انتظارش نداشتم

یه چیزی که موقع تست ترجمه به فارسی مشخص شد اینه که MiMo توی فارسی‌نویسی خیلی طبیعی‌تر از اکثر مدل‌هایی که امتحان کردم عمل می‌کنه. نه ترجمه‌ی تحت‌اللفظی که هر جمله‌اش بوی ماشین می‌ده — نثر روان، ساختار جمله درست، و انتخاب کلمه که به فارسی محاوره‌ای امروز نزدیکه.

این برای یه مدل چینی که احتمالاً داده‌ی فارسی کمتری در pretraining داشته، قابل توجهه.

ولی یه محدودیت هم پیدا کردم که مهمه: context window اسماً ۲۵۶K توکن داره، ولی بعد از حدود ۳۰ دقیقه کار یا session طولانی، مدل شروع می‌کنه به فراموش کردن جزئیاتی که اول گفتی. کار رو انجام می‌ده، ولی اون constraint خاصی که گذاشتی یا اون قالب که مشخص کردی ممکنه رعایت نشه. این همون مشکلیه که توی خیلی از مدل‌ها با context window بلند وجود داره: داشتن یه window بزرگ با attention یکنواخت روی همه‌ی اون window فرق داره.

پس برای task های کوتاه‌تر — ترجمه، تحلیل متن، دستورات مشخص — عالیه. برای agentic task های طولانی‌مدت که ساعت‌ها طول می‌کشه، باید حواست باشه.

چی خوبه

استدلال و کدنویسی: توی benchmark هایی مثل AIME، نسخه‌های V2.5 نمره‌هایی می‌گیرن که با مدل‌های top رقیبه. جامعه‌ی LocalLLaMA و Artificial Analysis هر دو از این مدل‌ها توی رتبه‌بندی‌های agentic بالا می‌آورن. کدنویسی، شبیه‌سازی وب، و multi-step task ها جایی‌ان که MiMo معمولاً خوب عمل می‌کنه.

سرعت: نسخه‌های UltraSpeed به بیش از هزار توکن در ثانیه می‌رسن و بعضی تست‌ها سه هزار توکن در ثانیه رو هم گزارش کردن. برای agentic loop هایی که زمان پاسخ مهمه، این عدد فرق محسوسی می‌کنه.

ارزش: نسخه‌ی non-Pro از نظر هزینه خیلی رقابتیه. Artificial Analysis اون رو با Intelligence Index حدود ۴۹ رتبه‌بندی می‌کنه — که در همون محدوده‌ی مدل‌های proprietary گران‌تره، با قیمت خیلی کمتر. کاربرهای زیادی از Reddit و LocalLLaMA از اون به‌عنوان «بهترین ارزش الان» یاد می‌کنن.

tool use: در مقایسه با بعضی رقبا مثل Gemini، follow-through بهتری در task های چندمرحله‌ای داره و hallucination کمتری گزارش شده.

چی ضعیف‌تره

نوشتن خلاقانه: اینجاست که مدل‌هایی مثل Claude هنوز جلوترن. اگه می‌خوای متنی بنویسی که ظرافت داشته باشه یا سبک خاصی داشته باشه، MiMo معمولاً نتیجه‌ی معمولی‌تری می‌ده. برای ترجمه خوبه، ولی برای خلق محتوای خلاقانه‌ی فارسی همون ضعفی که اکثر مدل‌ها دارن رو داره.

context طولانی: همون‌طور که گفتم، روی session های بلند focus ضعیف می‌شه. نه به‌خاطر اینکه context window کوچیکه — بلکه به‌خاطر اینکه attention روی اطلاعات اول session با پیشرفت مکالمه کمرنگ‌تر می‌شه.

در دسترس بودن: روی همه‌ی platform های غربی به‌راحتی host نشده. بعضی کاربرها از محدودیت‌های استفاده در تیرهای Pro شکایت دارن.

نسخه‌های اولیه: V1 و V2 اولیه مشکلاتی داشتن که V2.5 خیلی‌شون رو بهتر کرده. اگه چند ماه پیش امتحان کردی و نتیجه خوبی نگرفتی، ارزش داره دوباره V2.5 رو تست کنی.

کدوم نسخه برای چی

V2.5 non-Pro: برای اکثر کاربردهای روزانه — کدنویسی، ترجمه، تحلیل، task های متوسط. بهترین نسبت هزینه به کیفیت الان.

V2-Flash: وقتی سرعت مهم‌ترین چیزه و می‌تونی کمی کیفیت بدی. برای agentic loop هایی که باید خیلی سریع iterate کنن.

V2-Pro / V2.5-Pro: برای task های خیلی سنگین با نیاز به reasoning عمیق. ولی باید بسنجی که آیا هزینه‌ی اضافه‌اش نسبت به non-Pro توجیه داره — بعضی تست‌ها می‌گن در کاربردهای روزانه فرق محسوسی نیست.

جمع‌بندی

MiMo یه رقیب جدی توی فضای open-weight است — نه به‌خاطر اینکه در همه چیز بهترینه، بلکه چون نسبت هزینه به کیفیتش جذابه و توی task های خاص (کدنویسی، ترجمه، agentic کوتاه‌مدت) نتایج واقعاً خوبی می‌ده.

اگه با فارسی کار می‌کنی یا دنبال یه مدل ارزون برای workflow های برنامه‌نویسی هستی، V2.5 non-Pro ارزش امتحان کردن داره. فقط انتظار نداشته باش که روی task های خلاقانه‌ی پیچیده یا session های خیلی بلند همون نتیجه رو بده.

داکیومنت ها:

همه چیز به فارسی، رایگان در یک جا.

مستندات ترجمه‌شده

مطالب جدید

انتشار مستندات جامع و فارسی زبان برنامه‌نویسی جاوا در کدلپر

در این مستندات چه مباحثی پوشش داده شده است؟

شروع کار و مفاهیم بنیادین

تسلط بر APIهای مدرن و کاربردی

مباحث پیشرفته تا Foreign Function and Memory

چرا این منبع برای توسعه‌دهندگان ایرانی اهمیت دارد؟

مزایا و محدودیت‌های این مستندات