2026年第15周Node.js技术周刊权威精选榜单
???? 头条
Axios 供应链攻击事件复盘
先说本周最重磅的事件——Axios 团队公开了他们遭遇供应链攻击的详细复盘。简单来说，攻击者通过植入恶意依赖的方式注入了木马。这不是一次普通的漏洞利用，而是一次精心策划的供应链渗透。我们来拆解一下这次攻击事件的核心脉络，看看有哪些值得吸取的教训。
???? 文章
你不必参加全部44场Postgres演讲
POSETTE 2026 是一场免费的Postgres虚拟开发者活动，定于6月16日至18日举行。44场演讲将同步直播，并且支持事后回看。说实话，这就像一场Postgres的盛宴，但完全没必要焦虑错过。挑你感兴趣的听，剩下的随时补上即可。
Promise 无法取消（但有时可以）
Promise 自带一个“原罪”——它无法被取消。不过，有一个相对优雅的变通方案：让你的 async 函数去 await 一个永远不会 resolve 的 Promise，这样它就会安静地停止。关键好处是，GC 仍然可以正常回收相关资源。这就像让一个线程“睡死”，而不是强行杀掉它。
Node安全漏洞赏金计划因失去资金暂停
从2016年开始，Node.js 项目一直为安全漏洞报告提供赏金，这笔资金由 Internet Bug Bounty 计划资助。现在，由于资金中断，这个计划不得不暂停。对于维护者来说，这显然是一个令人遗憾的信号。安全社区的激励机制一旦缺失，漏洞发现的节奏可能会受到影响。
tsdown 现可生成Node应用可执行文件
VoidZero（尤雨溪的公司）开发的库打包工具 tsdown，现在支持使用 Node 的 Single Executable Application 功能来构建独立可执行文件。这意味着你可以将 TypeScript 项目打包成一个可以直接运行的单文件，部署体验会更接近传统桌面应用。
分析无需独立基础设施
TimescaleDB 扩展了 Postgres 的能力，让分析可以在实时数据上直接运行。它使用相同的连接，不需要额外的管道或第二个数据库。这就像在原有的房子里直接加一个多功能厅，而不需要再建一栋楼。
Marked.js 18.0: 快速Markdown解析库
这是一个为速度而生的底层 Markdown 编译器，支持客户端和服务端。v18 是一个问题修复版本，没有引入太多新特性，但稳定性进一步提升了。
Memetria K/V: 高效Redis和Valkey托管
Memetria K/V 为 Node.js 应用提供 Redis OSS 和 Valkey 托管服务。它针对大 Key 追踪和详细分析做了优化，适合那些已经将缓存层当做核心基础设施的团队。
Axios供应链攻击的隐藏影响范围
本周 Axios 供应链攻击引发广泛关注。Ahmad 在复盘文章中深入反思了这次攻击的机制，并且挖掘了更深层的影响范围。我们通常只看到直接损失，但供应链攻击带来的连锁反应往往更隐蔽、更持久。这不只是库被污染的问题，而是整个生态信任链的动摇。值得每一位依赖开源组件的开发者深思。
npm Workspaces 入门指南
通过 workspaces，你可以在一个仓库里管理多个包，并且让本地包之间可以按名称相互导入。npm 会自动处理依赖提升和去重。对于维护多个关联项目的团队来说，这就像一个一体化的工作台，效率提升非常明显。
在生产级沙箱中运行Agent
Ox 为每个 Agent 任务启动独立的沙箱，隔离代码、计算和数据。这样你可以对生产环境进行测试，且影响范围为零。想象一下，你可以在活火山边缘小心翼翼地进行实验，却不会引发任何灾难。
Node.js 2026年3月24日安全版本发布
Node.js 发布了四个安全版本：v25.8.2 (Current)、v24.14.1 (LTS)、v22.22.2 (LTS) 和 v20.20.2 (LTS)。这次一共修复了9个漏洞，其中2个被标记为高危。如果你还在用旧版本，是时候考虑升级了。
为V8开发抗HashDoS且可快速还原的整数哈希
哈希能否同时抵御哈希洪水攻击（HashDoS）并且还是快速可逆的？这是 Node 团队本周在 V8 中需要解决的棘手问题。这就像既要盾牌坚固，又要盾牌轻便——二者往往是矛盾的。但这正是底层工具链优化的魅力所在。
Clerk M2M Token 现支持JWT格式实现更快认证
现在机器之间的 Token 验证不再需要网络请求了。自包含的 JWT 携带机器 ID、声明和过期时间，可以在本地完成验证。这对于微服务架构中的认证效率来说，是一个实质性的提升。
400MB内存去哪了？
这篇文章讲述了一个真实的排查故事：一个 Node WebSocket k8s Pod 消耗的内存比同类多出400MB，但 process.memoryUsage() 报告的数据却完全正常。这就像你的钱&包莫名其妙少了钱，但银&行流水显示一切正常。背后可能涉及堆外内存、底层系统资源泄露等更隐蔽的问题。
Ja vaScript 膨胀的三大支柱
node_modules 为什么变得这么大？这篇文章给出了三个核心原因：不必要的 ES3 兼容包、只有单一消费者的微库、以及从未被多环境使用的 polyfill。这不是新鲜事，但确实值得每位开发者回头审视自己的依赖树。
在Node.js中从零构建AI Agent
Netflix 的高级开发者 Scott Moss 开设了一门课程，涵盖工具调用、Agent 循环、评估、Web 搜索和人工审批流程。如果你正打算从零开始接触 AI Agent 开发，这或许是一个不错的切入点。
为什么Node.js需要虚拟文件系统
核心思路是：hook 掉 node:fs 和模块解析器，使那些只存在于内存中的模块也能被正常导入。这种机制适用于沙箱、单可执行文件等场景。一句话总结：让不可能使用的文件变得可用。
Node Worker Threads 问题不少，但我们用得很好
这是一个实际案例：开发者通过将连接内部逻辑移入 Worker Thread 来解决 WebSocket SDK 中的事件循环饥饿问题。但文章同时也坦诚地讨论了 Worker Threads 的局限性。实践中解决问题，同时正视工具本身的边界，这才是工程化的正确态度。
Clerk Core 3: 无密钥模式、Satellite修复、升级CLI
新版本支持 TanStack Start、Astro 和 React Router 的无密钥模式，并且 Satellite 域名会对匿名访客跳过重定向。对于需要快速搭建认证系统的团队来说，这些升级值得跟进。
Edge.js: 在WebAssembly沙箱中运行Node应用
一个全新的运行时（目前处于 Alpha 阶段），通过 WebAssembly 隔离不安全执行，同时保持完整的 Node.js 兼容性。现有应用和原生模块可以直接运行。这让我们离“安全运行任意代码”的梦想又近了一步。
????️ 工具
web-audio-api: 在Node中使用Web Audio API
现在你可以在 Node 中获得完整的 Web Audio API 支持了。无论是播放音频，还是渲染到文件，都可以实现。甚至 Tone.js 也能正常工作。工具提供了大量示例，上手门槛很低。
Node.js 25.9.0 (Current) 发布
新版本新增了 --max-heap-size 选项，用于设置进程的最大堆内存。同时，James Snell 的实验性“更好的流 API”实现也作为实验特性合入。对于需要精细控制内存的开发者来说，这两个功能都很有价值。
node-re2: Google RE2正则库的Node绑定
RE2 是一种具有线性时间匹配特性的正则表达式库，可以有效抵御由于回溯导致的 ReDoS 攻击。node-re2 提供了几乎兼容原生 RegExp 的绑定。如果你遇到过正则表达式引发的性能问题，这是一个值得关注的替代方案。
Defuddle: 从网页中提取主要内容
这个工具可以去除 HTML 中的杂乱内容，只保留主要正文。它提供了一个在线演示，使用起来非常直观。非常适合需要从网页中提取核心文本内容进行二次处理的场景。
Knip v6 发布: 快速清理项目冗余
Knip 已经成为查找和移除未使用文件、导出和依赖的首选工具。v6 采用了 oxc-parser，实现了 2-4 倍的性能提升。没有什么比在代码库中扫除冗余更让人心情舒畅的了。
Va vite 6: 用Vite开发服务端应用
这个工具让你在后端 Node.js 代码中也能使用 Vite，实现前后端统一的工具链。前后端热重载同时工作，开发体验会非常流畅。v6 版本带来了一系列改进。
htmlparser2 12.0: 快速容错的HTML/XML解析器
这是一个以回调方式消费文档的解析器，也可以生成 DOM。它支持 Node 和浏览器环境，并提供了在线演示。对于需要快速、容错性好的 html 解析场景来说，这是一个可靠的选择。
TypeScript 6.0 发布
TypeScript 6.0 的目标是为从自托管编译器过渡到 Go 驱动的原生编译器（即 TypeScript 7.0）铺路。这意味着 TypeScript 编译速度将迎来一次质的飞跃。虽然7.0才是最终的“大招”，但6.0已经开始了基础设施建设。拭目以待。