Node 中文周刊 #237 - 2026 年安全发布 npm 包的正确方式

📌 一句话摘要

本期 Node 中文周刊聚焦安全发布 npm 包的正确姿势，汇总 npm 恶意代码扫描、Node 安全更新、供应链攻击溯源、Vercel 新编译器及多款工具版本发布等一周动态。

📝 详细摘要

本期周刊的信息密度较高。重点推荐 Andrey Sitnik（postcss、nanoid 作者）撰写的《2026 年安全发布 npm 包的正确方式》，介绍了 staged publishing 与 trusted publishing 等特性及安全收益；npm 官方宣布将在发布时扫描包内恶意软件，新版本可能需要数分钟才能安装。快讯方面包括 Node 7 月安全更新修复 11 个 CVE、微软为 Node 提供动态 WinRT API 投影、亚马逊定位朝鲜关联的 npm 供应链攻击团伙、Cloudflare wrangler 支持集成测试。文章与工具部分则涉及 GitHub 供应链安全剖析、NodeBB 漏洞挖掘、Testcontainers 集成测试、Vercel 的 TypeScript 原生编译器 scriptc、tslog v5、npm-check-updates v23、jsdom v30 等，另有 Ada、Wasp、Verdaccio 等多个项目的版本发布。

💡 主要观点

- 安全发布 npm 包应启用 staged publishing 与 trusted publishing。 由 postcss 作者给出的指南强调，传统令牌方式存在泄漏风险，两阶段发布与受信发布能显著降低被篡改和恶意注入的可能。

npm 将在发布时扫描每个包是否含恶意软件。 该机制会影响新版本的即时可用性，严重情况下可被暂缓或拦截，是 npm 供应链安全的重要升级。

Node 发布 2026 年 7 月安全更新，修复 11 个 CVE。 涉及 v26.5.1、v24.18.1、v22.23.2 等版本，包含 HTTP/2 缺陷与权限模型允许列表绕过问题，需及时升级。

微软以动态投影方式让 Node 调用原生 Windows API。 新的 WinRT API 投影无需编写原生插件即可访问系统能力，Electron 应用同样受益。

亚马逊确认多起 npm 供应链攻击出自朝鲜关联团伙。 攻击目标是 debug 与 chalk 等流行包，开发者需更谨慎地检查依赖来源与完整性。

📊 文章信息

AI 初评：80

来源：印记中文

作者：印记中文

分类：软件编程

语言：中文

阅读时间：7 分钟

字数：1559

标签： Node.js, npm, 供应链安全, 开发者工具, 开源项目

阅读完整文章

Node 中文周刊 #237 - 2026 年安全发布 npm 包的正确方式

🤖 問 AI