第 2 页
VoidZero 并入 Cloudflare、npm v12 安全默认、Angular v22 与 React Compiler Rust
本周焦点：Cloudflare 收购 VoidZero（Vite/Vitest/Rolldown/Oxc 保持 MIT 与 vendor-neutral）；npm v12 默认禁用 install/git/remote scripts，可用 npm approve-scripts 预演；Node 自 27 起每年一个大版本 + Alpha 通道；Angular v22 转正 Signal Forms / Aria / 异步 Signals；React Compiler Rust 移植合并进 react/react 并被 Oxc 集成；Christoph Nakazawa 谈 AI 时代工程价值观；RedMonk 复盘 Bun×Anthropic 的开源治理。工具：Geometric.js、Micromodal、DepsGuard、view-transitions-toolkit。版本：TanStack Table v9、visx 4.0、Node-RED 5.0、Commander.js 15。示例：`form(paymentModel, schema => required(schema.paymentType))`、`optimizeGroupAnimations(t, '*')`。
npm 供应链与 TanStack 复盘、TracingChannel、GitHub Issues 本地化与 Bun 1.3
本周焦点：TanStack 等包的 npm 供应链事件（PR 链路、令牌与缓存投毒链路复盘）与安全响应；GitHub Issues 迁移到 IndexedDB 本地优先 + SWR；Long Ho 提醒「RSC Server Function 不等于 API 边界」；服务端可观测性从 monkey patch 迁移到 diagnostics_channel/tracingChannel；Chrome 尝鲜 `<install>` 元素写 PWA；`No-Vary-Search` 优化 CDN/浏览器缓存键。工具：zero-native、Wakaru、wf、Counterfact、visual-explainer、React Review。版本：Bun 1.3.14、Jest 30.4、Electron 42、Waku 1 Beta、Fate 1.0。示例：`tracingChannel('mysql2:query').tracePromise(...)`。
Next 与 React 安全修复、Node 26.1 FFI、Rolldown 1.0 与 TanStack 投影 React
五月协同安全发布：Next.js 15.5.18/16.2.6 与 React 19 补丁线修复 RSC DoS（CVE-2026-23870）及多条中间件/缓存相关 GHSA，应尽快升级。Node.js 26.1 带来实验性原生 FFI（`import { dlopen } from 'node:ffi'` + `--experimental-ffi`）。生态：Rolldown 1.0、Electron 42 安装策略调整、Expo SDK 56 Beta、Astro 6.3 实验路由、React Router 7.15。深度：TanStack《投影 React》《谁拥有树》与 Ahmad Shadeed 区间媒体查询、CSS `n of` 条件校验。工具：Vercel deepsec、ShaderPad、AddFox、shadcn CLI。示例：`redact({ preset: 'nano' })`。
Remix 3 公测、Node 26 与 Temporal、React 流式渲染与可信 JS
Remix 3 Beta 与非 React 全栈路线；Node.js 26、Temporal 默认开启与 V8 14.6；React 乱序流式渲染、WAICT 可信脚本、响应式图片与 sizes=auto、滚动驱动动画、Constructable Stylesheets；Cloudflare Agentic Inbox 开源；pnpm 11、PM2 7、Astro 6.2 / v7 Alpha、Electron 41.5、ESLint 10.3、Zod 4.4、AVA 8、Fresh 2.3；portless、Formisch、Anime.js、View Transitions Mock、Datatype、Nano Stores、SSgoi。
TypeScript 7 Beta、Vercel 安全通报与 Bun 测试矩阵
本期覆盖 TypeScript 7.0 Beta（Go 原生编译器、`npx tsgo` 与 `@typescript/native-preview`）、Vercel 四月安全事件与 OAuth 第三方风险、Bun 1.3.13 的 `bun test --isolate/--parallel/--shard/--changed` 与流式安装，以及 Rspack/Rsbuild 2.0、Playwright 1.59 `page.screencast`、React Email 6 等。示例：`npm install -D @typescript/native-preview@beta` 后 `npx tsgo --version`；CI 分片 `bun test --shard=1/3`；OWASP npm 清单里禁用可疑 lifecycle script 等实践。
GitHub Diff 性能、MDN 与 Lit、Signals 推挽与 Ky 2.0
本期聚焦大规模 PR Diff 的 React 重构与虚拟化、MDN 用 Lit/Web Components 替换 CRA 封装、Railway 自 Next 迁往 Vite+TanStack Router、Signals 推挽算法与 Inngest「悬停 Promise」工作流；工具侧含 view-transitions-toolkit、ky 2、Crashcat 等；发布含 React 19.2.5、RN 0.85、Docusaurus 3.10、Mantine 9、Ink 7、Undici 8.0.2、pnpm 11 beta。示例：`await ky(url, { totalTimeout: 5000, retry: { limit: 2 } })` 与 `document.startViewTransition` 配合 `optimizeGroupAnimations`。
JSIR 与供应链防御、TypeScript 6.0、Pretext 文本布局与 Next 适配器
Google 开源 JSIR 与 JavaScript 高阶 IR 讨论；Axios npm 事件与最小发布年龄、Socket 对爆炸半径的分析；JetStream 3 与 Web 平台特性索引；TypeScript 6.0、Node 25.9、ESLint 10.2、Babylon.js 9、Astro 6.1、Transformers.js v4、Storybook MCP、TanStack DB 0.6 与 Next.js 16.2 跨平台适配器。
Next.js 16.2、SSR 基准对决与限制 Node 核心引入 AI 生成代码的倡议
Next.js 16.2、Nuxt 4.4、Vitest 4.1、Platformatic SSR 基准与 Node 虚拟文件系统、TanStack Start 5× SSR、理解债、Edge.js、Starwind UI；Node 安全发布与 Vercel 条款更新。
AI 编程最佳实践、Cursor 迁移与 Node 发布节奏
TypeScript 6 RC、Temporal Stage 4、React Activity 与 Node 发布节奏；Patreon 七年 TypeScript 迁移、Cursor 迁移框架、Node 阻塞 I/O 扫描、focusgroup 提案等。