Web前端周刊2026W27 | TS 7 RC、Expo SDK 57、Node 26.4-酒店常州论坛

React 水合不匹配性能陷阱与多项更新发布，TypeScript 7.0 RC 带来 10 倍构建加速，npm 12 预览版多项安全策略调整，Node.js 26.4 引入 vfs 子系统并公布新发布计划。

⚛️ React

🟨 JavaScript

使用 TypeScript 7 加速 VS Code 迭代

VS Code 在主代码库中通过增量方式采用了 TypeScript 7，构建速度提升超过 10 倍，改善了开发者和 Agent 的编辑循环，并帮助 TypeScript 团队发布了经过更充分测试的版本。

Drizzle 为何一个月无法在 npm 发布新版本

Drizzle ORM 数周无法发布新 npm 版本，因注册表对“packument”（累积每个版本清单的 JSON 文档）强制执行 100 MB 限制，通过 npm 支持协助删除未使用的旧版本得以解决。

阻止安装脚本并非银弹

npm v12 的可选安装脚本可防止安装时攻击，但恶意代码会转移至加载时执行，因此沙箱和 Node.js 权限模型是必要的防御层。

Linear 从 styled-components 迁移至 StyleX

Linear 主要出于性能原因从 styled-components 迁移至 StyleX，运行时 CSS-in-JS 迫使客户端在渲染期间承担样式生成开销，而 styled-components 进入维护模式且未采用 React 18 的 useInsertionEffect 加速了这一决策。

npm 12 第二个预览版已发布

npm 12 计划对 .npmrc 中的未识别键报硬错误，作者认为这将导致工具创建独立配置文件、静默丢弃安全设置以及碎片化包管理器配置生态，带来全生态范围的震荡。

npm 现锁定“高影响账户”

npm 现在检测到敏感变更（邮箱或 2FA 恢复码使用）时，会将高影响账户置于 72 小时只读状态，防止攻击者即使在账户被攻破后仍能发布恶意包。

Svelte 团队发布最新月度动态

SvelteKit 配置现可直接置于 vite.config.js 中，SvelteKit 3 预览了显式环境变量，完整工具链支持新的 {const …} 声明标签。

AI SDK v7

AI SDK 7 引入生产级 Agent 能力，包括标准化推理控制、工具审批、沙箱执行、遥测和供应商无关的实时语音与视频支持，同时保持跨模型供应商的兼容性。

Formisch v1 RC

Formisch v1 RC 引入了一个稳定的、模式优先、无头表单状态管理库，从单个 Valibot 模式同时派生运行时校验和 TypeScript 类型，无需单独的类型定义或解析器。

Prettier 3.9

Prettier 3.9 为 Markdown（从 remark-parse v8 升级至 micromark v4）、YAML（yaml v2）和 GraphQL（v17 支持）提供了重大解析器升级，并改进了 --no-semi 模式下的 JS/TS 格式化。

Wakaru 1.6

Wakaru 1.6 通过生成引用原始输入的源码映射，并增强命名/结构处理流程，改进了反编译质量，产出更接近源码的代码。

GopherJS 1.21.0

GopherJS 1.21.0 将 Go 支持升级至 go1.21.13，并通过更新索引指针处理启用了 unsafe.Slice。

whatwg-url 17.0

whatwg-url 17.0 提供了完整的 WHATWG URL 标准实现，包含面向用户的 URL/URLSearchParams API 和供 jsdom 等项目集成的内部解析算法，解析失败时返回 null，并提供详细的校验错误报告。

2026 年 WebAssembly 运行时性能观察

使用一致的 C 加密代码编译至 WebAssembly，对 2024、2025 和 2026 年的 WebAssembly 运行时进行了 libsodium 基准测试，以衡量运行时性能是否随时间的推移而实际改善。

可将 Issue 创建权限限制为具有写入权限的协作者

GitHub 现允许仓库管理员将 Issue 创建权限限制为具有写入权限的协作者，防止无写入权限的用户通过 Issues、Comments、Discussions、Projects 和 Copilot 创建 Issue。

Flow

Flow 现支持与 TypeScript 兼容的类型特性（如 keyof 和条件类型），同时新增一流 React 组件语法，通过 renders 约束在编译时捕获设计系统组合错误。

Git 2.55 已发布

Git 2.55 引入了增量多包索引，将包文件索引存储为分层链而非单个文件，通过避免每次更新时完全重写来降低大仓库的维护成本。

PostgreSQL 19 当前处于 Beta 阶段

PostgreSQL 19 Beta 引入了自动缩放 I/O 工作进程（io_method=worker）、用于稳定查询计划的 pg_plan_advice 扩展以及带优先级评分系统的并行自动清理工作进程。

🟢 Node.js

如何提交你的第一个 Node.js 核心贡献

本指南帮助首次参与 Node.js 贡献的开发者使用 good first issue 和 help wanted 标签寻找合适的议题，并说明何时应创建讨论议题而非直接提交 Pull Request。

用 TypeScript 构建你的自主工程团队

SWE-AF 是一个基于 AgentField 构建的 TypeScript 运行时，通过单次 API 调用即可拉起完整自主工程团队（PM、架构师、编码者、审查者、测试者），支持单仓库和多仓库模式，通过可配置的模型角色来范围界定、构建和交付复杂软件的全链路。

37 个 Node CLI 应用最佳实践

一份指南，汇编了 8 个类别的 37 条最佳实践，用于构建富有同理心、用户友好的 Node.js CLI 应用程序，涵盖命令行体验、分发、互操作性、无障碍、测试、错误处理、开发和分析。

Node-GTK 4.0：适用于 Node 的 GTK 绑定

Node-GTK 4.0 允许开发者使用 Node.js 在 Linux、macOS 和 Windows 上构建原生 GTK 应用，支持 ESM、TypeScript 和 CSS 热重载（通过 GObject 内省）。它为 Windows 预构建了 GTK4/Adwaita 二进制文件，并提供脚手架工具快速创建可运行项目。

使用 xyOps 在服务器集群间调度 Node.js 脚本

提供的内容仅为版权和商标信息，非实际文章正文，无法提取摘要。

Electron 43：更快的启动速度和 V8 15

Electron 43 通过以下方式提升应用启动性能：从嵌入式 Node.js 启动快照引导主进程、将框架包和预加载脚本缓存为编译后的 V8 字节码、在导航前推送沙箱化渲染器启动数据（而非使用阻塞 IPC）。同时还升级至 Chromium 150、V8 15.0 和 Node.js v24.17.0。

那条分析路由正在阻塞你的事件循环

本文推广 Tiger Data 的 Postgres 兼容云数据库，强调其存算分离架构、独立扩缩容、只读副本、多可用区故障切换和企业合规特性。

如果 npm 运行在 AT Protocol 上会怎样？

本文探讨了一个思想实验：将 npm 这样的包注册表构建在 AT Protocol（Bluesky 的联邦协议）上——包不再发布到中心化注册表，而是存在于发布者自己的仓库中，注册表变为只读聚合器（发现而非托管包）。

5 款 Node.js WebSocket 服务器基准测试

五款 WebSocket 实现在 1 万订阅者下原始延迟相近，但负载下性能显著分化。作者指出基准测试最难的部分是消除测量基础设施偏差。

你的 Node 应用存在 N+1 问题，AppSignal 告诉你位置

AppSignal 帮助 Node.js 开发者通过端到端追踪、错误监控和日志关联识别 N+1 查询问题和性能瓶颈，便于在整个应用栈中定位慢速数据库查询。

TypeScript 7.0 发布候选版

TypeScript 7.0 RC 构建于全新的基于 Go 的编译器基础上，相比 TypeScript 6.0 提供约 10 倍的速度提升，同时保持相同的类型检查语义和与现有代码库的兼容性。

Camaro 6.5：高性能 XML 转 JSON 转换器

Camaro 6.5 是一个 Node.js 库，使用 C++ 绑定到编译为 WebAssembly 的 pugixml 解析器来将 XML 转换为 JSON，通过 worker_threads 池实现多核扩展，性能比 txml 和 xml2js 等替代方案快 3-20 倍。

Anthropic 与 Master.Dev 联合推出的免费 Claude Code 课程

Anthropic 与 Master.Dev 合作发布了由 Lydia Hallie 主讲的免费 Claude Code 课程，涵盖 Agent 工作流配置、多 Agent 编排、权限管理，以及通过插件、MCP 和 Agent SDK 的集成。

Node.js 26.3.1、24.17.0 和 22.23.0 发布

Node.js 26.3.1（Current）及 24.17.0、22.23.0 已作为安全更新发布，修复了多条发布线的漏洞。

LinkedIn 工作邀约中的后门

一个伪装成面试编程测试的恶意 GitHub 仓库在 app/test/index.js 中嵌入了后门，通过 npm 的 prepare 脚本在安装时自动执行，与 rest-icon-handler.store 通信以在受害者机器上执行远程命令。

LinkedIn 如何实现 18 倍代码审查吞吐量

How LinkedIn Unlocked 18x Code Review Throughput

zod-compiler：将 Zod 模式编译为零开销校验器

zod-compiler 在构建时将 Zod 模式编译为零开销校验函数，无代码更改即可实现 2-75 倍更快的校验，并新增零分配的 .is() 类型守卫以避免 SafeParseResult 开销。

eslint-plugin-unicorn 67.0：300+ 强大 Lint 规则

eslint-plugin-unicorn 67.0 现提供超过 300 条规则，支持 JavaScript、TypeScript、CSS、HTML、JSON 和 Markdown，要求 ESLint >=10.4 并采用 flat config 和 ESM，因 AI 生成提交过多已停止接受 Pull Request。

npm v12 默认停止运行安装脚本

npm v12 使 npm install 默认停止运行安装脚本、解析 Git 依赖和拉取远程 URL 依赖，需要通过 --allow-git 和 --allow-remote 等新标志显式选择加入，以堵住安全攻击面。

来参加精彩的 PostgreSQL 演讲——线上且免费

POSETTE 2026 是由微软 Postgres 团队主办的免费线上 PostgreSQL 会议，所有 44 场演讲已上线可供观看。参会者还可通过 Discord 继续讨论并订阅未来活动更新。

Node 新发布计划与版本号说明

自 2026 年 10 月起，Node.js 将改为每年一个主要版本，版本号基于公历年份，每个发布均为 LTS，并新增 Alpha 频道用于早期测试。

Node-RED 5.0：项目历史上最大的编辑器改造

Node-RED 5.0 带来了重大的编辑器改造，重新设计了侧边栏，支持分栏视图和直接面板重排，显著改善了信息流和无障碍性。

Bonsai：用于用户自定义规则的安全表达式语言

Bonsai 是一种安全的沙箱化表达式语言，用类型化错误、可缓存编译和安全控制（属性白名单、深度限制、超时守卫）替代脆弱的 eval() 风格代码，适用于定价、搜索过滤和工作流条件中的用户自定义规则。

DepsGuard：加固 npm、pnpm、Yarn 和 Bun 配置的工具

DepsGuard 是一个零依赖 CLI 工具，可扫描并自动修复 npm、pnpm、Yarn、Bun 和 Python 包管理器的安全配置，防止 2026 年 3 月 axios 攻击等供应链安全事件影响你的环境。

往期精选

前端周刊2026W26 | Next.js 16.3、Vite 8.1、Babel 8.0、TypeScript 7.0 RC、Node.js v26.4
前端周刊2026W25 | React Compiler Rust 移植版合并、npm v12 默认禁用安装脚本、TypeScript 7.0 候选版发布、Deno 2.8 兼容性达 76%、Node.js 多版本安全更新
前端周刊2026W24 | VoidZero 加入 Cloudflare、Angular v22 发布、Deno 2.8 兼容 76%、npm v12 默认停用安装脚本、React Native 0.86.0
Github周刊2026W27 | OpenMontage 开源 AI 视频系统、codebase-memory-mcp 覆盖 158 语言、agency-agents 一键分发、design.md 定义代理设计规范、simplex-chat 无标识通讯
PHP周刊2026W26 | Laravel 13.15.0发布、Composer安全风险预警、Symfony 8.1图片输入、Laravel-Lang包攻破、Laracon US 2026嘉宾公布
Python周刊2026W26 | PEP 835 添加、3.14 GC 回退、大量 PEP 定稿、Pluggy 解析、PyCon 安全汇总

企业官网建设流程全解析

⚛️ React

热门文章

文章分类

标签云

相关文章

STM32F103 低功耗模式实战：3种模式唤醒延迟与功耗实测对比

中科院研究生实践：AI辅助论文写作全流程工具链与实战指南

中科大上门化学家教

需要专业的网站建设服务？