JavaScript 中文周刊 #237 - npm 安全新提议 & Shai-Hulud 攻击 300+ npm 包

📌 一句话摘要

本期周刊聚焦 npm 安全新提议和 Shai-Hulud 供应链攻击，并汇总了 Mark Erikson 的 AI 工作流、Orval 代码生成工具、Fate 1.0 数据框架等 JavaScript 生态热点。

📝 详细摘要

本期 JavaScript 中文周刊涵盖了 JavaScript 生态中的多个重要动态。安全方面，重点报道了 npm 生态中关于将安装脚本改为 opt-in 的 RFC 提议，以及波及 300 多个 npm 包的 Shai-Hulud 供应链攻击事件。此外，还收录了 Redux 维护者 Mark Erikson 关于其 AI 编码 Agent 工作流的深度分享、TanStack 在遭受供应链攻击后的安全加固措施、以及关于 ShadowRealm 提案的深入解读。工具方面，介绍了 Orval（从 OpenAPI 生成类型安全客户端）、Brownies（浏览器存储 API）、Pica 10.0（图片缩放库）和 Fate 1.0（React 数据框架）等。快讯部分则涵盖了 Dr. Axel Rauschmayer 因 AI 爬虫撤下博客、Bun 的 Rust 重写争议、Deno 2.8 预热、以及 Express.js 焕新等消息。

💡 主要观点

- npm 生态面临严峻的供应链安全挑战，社区正推动将安装脚本改为 opt-in。 npm 是唯一默认运行依赖安装脚本的主流包管理器，这已成为安全弱点。新的 RFC 提议改变这一现状，同时 Shai-Hulud 攻击事件也凸显了问题的紧迫性。

Redux 维护者 Mark Erikson 分享了其 AI 编码 Agent 工作流，具有实践参考价值。 文章详细介绍了 Mark 如何使用 OpenCode 等工具管理知识库和任务，为开发者提供了来自资深人士的 AI 辅助编程实践案例。

多个新工具和框架发布，丰富了 JavaScript 开发生态。 Orval 提升了 API 集成的类型安全性，Fate 1.0 为 React 数据管理提供了新选择，Alien Signals 则展示了信号库的极致轻量化设计。

💬 文章金句

- RFC：建议 npm 将安装脚本改为 opt-in

小型 Shai-Hulud 攻击：300+ 恶意 npm 包被发布
JavaScript 传奇人物、前 JS Weekly 编辑 Dr. Axel Rauschmayer 将其博客和 JavaScript 书籍从 Web 上撤下，原因是 AI 爬虫太多。
终于可以将 JavaScript 放逐到 ShadowRealm 了
Fate 1.0：现代 React 数据框架

📊 文章信息

AI 初评：83

来源：印记中文

作者：印记中文

分类：软件编程

语言：中文

阅读时间：9 分钟

字数：2185

标签： JavaScript, npm, 供应链安全, AI 编程, React

阅读完整文章

JavaScript 中文周刊 #237 - npm 安全新提议 & Shai-Hulud 攻击 300+ npm 包

🤖 問 AI