82
This issue of Node Weekly covers the Nub toolkit, Node.js security updates, the Neon pure TypeScript psql client, and several engineering practice articles along with tool version releases. 
Yesterday 1614 words (about 7 min) View Source →
Sign in to highlight text and take notes as you read. Sign in now
原创 印记中文团队 2026-06-20 17:22 浙江
> 本期看点：Zod 作者（前 Bun 员工）推出 Nub，作为 Node 与包管理器的增强层；Node.js 三条线同步发布安全更新，修复 11 项漏洞含 2 项高危；Neon 用纯 TypeScript 复刻 psql 客户端；什么是 Git Worktree，为什么要使用它们？Wasp 全栈开发框架。
> 编辑：TimLi
🔥 本周热点
Nub：一站式增强 Node 的工具包— 当 Bun 和 Deno 试图取代 Node 时，这个由 Zod 作者（也是前 Bun 员工）出品的项目扩展了你现有的 Node 和包管理器，加入一系列实用特性：更完善的 TypeScript 支持（超越类型剥离）、更快更安全的包安装，以及更完备的.env处理。Colin McDonnell et al.
!Image 4 Node.js v26.3.1、v24.17.0 与 v22.23.0 发布— 最新一轮 安全发布 已上线：26.3.1（Current）、24.17.0（LTS）与 22.23.0（LTS）修复了十一项漏洞。其中两项为「高」严重性：一项涉及 tls 在服务端身份校验时的主机名规范化，另一项在 WebCrypto 中。Antoine du Hamel
🔒 上述版本还包含 Undici v8.5.0，它修复了一些自身的安全公告。
!Image 6 快讯：
* 随着 npm 准备默认禁用安装脚本，Andrew Nesbitt 调查了 其他工具与生态是如何处理安装脚本白名单的。
!Image 7 * Iroh v1.0 是一个能穿透 NAT 和防火墙的点对点加密网络栈。它基于 Rust 构建，但有 官方 Node.js 绑定。
!Image 8 * Babel v8.0 已发布：没有新功能，专注于现代化。它现在仅支持 ESM，自带 TypeScript 类型，且默认不再编译到 ES5 与 CommonJS。
📖 文章与视频
不需要 psql 也能发布 psql：纯 TypeScript 的 Postgres 客户端— Postgres 平台Neon希望在自家 Node 驱动的 CLI 中复刻 Postgrespsql客户端的体验，但又不想引入二进制依赖。这篇文章介绍他们是如何借助 AI、严格的兼容性测试框架和安全审查做到这一点的。Vadim Kharitonov (Neon)
!Image 10 LinkedIn 招聘中的后门— 一位黑客冒充 LinkedIn 上的招聘人员，要求作者诊断一个 Node 项目中的问题，但这些依赖里藏有后门。涉及的招聘人员和 git 仓库还冒用了与这起骗局无关的真实人物身份。Roman Imankulov
📄什么是 Git Worktree，为什么要使用它们？—— 一个已有十年历史的git功能，在 AI 代理时代焕发了新生。Cassidy Williams (GitHub)
📄在 Cloudflare Workers 中以编程方式设置 Node 和 pnpm 版本——「我已经浪费了好几个小时，这样你就不用再浪费了。」Sen Hongo
📄Wasp 现可让你用 TypeScript spec 编写全栈逻辑—— 这款 React + Node.js + Prisma 全栈框架告别了自家的.waspDSL。Martin Sosic (Wasp)
📄为什么 pnpm 不再在.npmrc中展开环境变量Zoltan Kochan
🛠 代码与工具
✉️Nodemailer v9.0：轻松从 Node.js 发送邮件— 长期流行的通过 SMTP、SES 或 Sendmail 发送邮件的方式。v9.0 现在在获取远程内容时默认校验 TLS 连接。Andris Reinman
!Image 16 zod-compiler：将 Zod schema 编译为零开销校验器— 一款构建时编译器，可接入 Vite、webpack 等，将已有 schema 重写为经过优化、可 tree-shake 的校验器，且完整保留 Zod API。Gajus Kuizinas
💬Node Telegram Bot API v1.0/1.1— 从 Node 与官方 Telegram Bot API 交互。现已现代化，使用 TypeScript 重写，且仅支持 ESM，支持 Telegram Bot API 10.1。Yago
!Image 18 eslint-plugin-unicorn v67.0：超过 200 条强力 lint 规则— Sindre 的规则集能真正考验（并改进）你的代码，无论是 注释、嵌套调用深度，还是 优先使用 Temporal 而非 Date 等。Sindre Sorhus et al.
!Image 19 版本发布：
* XO v3.0—— 强意见的 ESLint 封装，以零配置强制执行严格且可读的代码。内含 eslint-plugin-unicorn（上图）。
* Playwright v1.61—— 现在可以注册并测试 passkey，并通过新的 WebStorage API 读写localStorage与sessionStorage。
* ESLint v10.5.0—— 五条核心规则现在高亮更小的代码范围，避免在编辑器中遮蔽其他问题。
* Axios v1.18.0—— 面向这个基于 Promise 的 HTTP 客户端的安全修复与加固。
* node-gyp v13.0—— 跨平台的原生 addon 模块编译工具。
* graphql-js v17.0—— JavaScript 的官方 GraphQL 参考实现。
* Faker v10.5—— 用于测试与开发的逼真假数据生成器。
* Nx v23.0—— 面向 TypeScript 与多语言 monorepo 的构建系统。
* BSON Parser v7.3—— BSON 解析库。
* Babel v8.0—— 不再编译到 ES5 与 CommonJS，默认仅支持 ESM，自带 TypeScript 类型。
* Undici v8.5.0—— Node.js 的 HTTP 客户端，已修复多项自身安全公告。
🙋🏻♀️ 关注我们