📰 本周重要资讯
1. Rolldown 1.0 正式发布：基于 Rust 的高性能 JS 打包器
由 VoidZero 团队打造的 Rolldown 1.0 本周正式发布，这是一个基于 Rust 编写的高性能 JavaScript 打包器，现已作为 Vite 8 的统一底层引擎。Rolldown 在兼容 Rollup 插件 API 的同时，打包速度比 Rollup 快 10-30 倍。早期采用者 Linear 的构建时间从 46 秒降至 6 秒。这意味着前端构建工具链正式进入 Rust 时代------Rolldown 与 Rspack、Turbopack 三足鼎立的格局已经形成。
2. TanStack npm 遭遇 Mini Shai-Hulud 供应链攻击：170+ 包被恶意发布
本周前端社区最大的安全事件：5 月 11 日，攻击者利用 GitHub Actions 漏洞链 （pull_request_target Pwn Request + 缓存投毒 + OIDC Token 窃取），在 6 分钟内发布了 84 个恶意版本 ，覆盖 42 个 @tanstack/* 包。攻击者并未窃取维护者凭证------恶意代码是通过 TanStack 自身的合法发布流水线推送的，拥有有效的 SLSA Build Level 3 认证 。受影响范围随后扩大到 170+ 个 npm 和 PyPI 包，包括 Mistral AI、UiPath 等。该攻击被命名为 Mini Shai-Hulud,CVE-2026-45321,CVSS 评分 10.0。
3. Bun v1.3.14 发布：内置图像处理、HTTP/3 支持，即将全面迁移至 Rust
Bun 发布了 v1.3.14 ，这很可能是最后一个使用 Zig 编写的版本。本次更新带来了 Bun. Image ------一个可替代 Sharp 的内置图像处理 API，支持 JPEG、PNG、WebP、GIF、BMP 等格式；HTTP/3（QUIC）实验性支持 ；以及 7 倍更快的热安装速度 （通过全局虚拟存储）。与此同时，Jarred Sumner 宣布 Bun 的 Rust 重写已通过 99.8% 的原有测试套件，96 万行 Zig 代码被迁移至 Rust，整个过程仅用了约 6 天，大量借助 Claude Code 完成。
4. Node.js 26 发布：Temporal API 默认可用，实验性 FFI 支持
Node.js 26（Current）于 5 月 5 日正式发布，将在 2026 年 10 月进入 LTS 。核心亮点包括：Temporal API 默认可用（无需 flag）、Map upsert 辅助方法、Iterator.concat、V8 14.6 引擎和 Undici 8。随后发布的 Node.js 26.1 更进一步，新增了实验性的 FFI（外部函数接口）支持，允许直接调用 C 语言库。Node.js 22.22.3（LTS）也在本周发布，修复了关键加密空指针崩溃问题。
5. Safari 26.5 发布：支持 :open 伪类，Chrome/Edge 实验性支持 install 元素
Safari 26.5 带来了多项 WebKit 新特性：: open** 伪类**（替代 [open] 属性选择器，覆盖 <details>、<dialog>、<select>、<input>）、CSS random() 函数的 element-scoped 关键字、SVG 渐变的 color-interpolation 支持、以及 Origin API 。与此同时，Chrome 和 Edge 开始实验性支持全新的 <install> HTML 元素------无需 JavaScript 即可渲染受信任的 Web 应用安装按钮，标志着 PWA 体验的又一次简化。
📝 干货推荐文章
6. 《Anatomy of the TanStack npm Compromise》
TanStack 官方发布的完整事件复盘，详细拆解了攻击者如何将 pull_request_target、缓存投毒和 OIDC Token 窃取 三条漏洞链式利用。这篇文章不仅是一份事后分析，更是一份 GitHub Actions 安全工作流的实操指南------包括如何配置 install-time cooldown （如 npm config set min-release-age=7）、如何使用 zizmor 审计工作流安全性。
7. 《From React to Web Components: A Migration That Saved 100 KB》
Evil Martians 团队的 Pavel Grinchenko 分享了将一个站点从 React 迁移到原生 Web Components 的完整经历。迁移后 JS 体积减少 100 KB ，而使用的模式最终沉淀为一个名为 nanotags 的小型库。这篇文章对于正在评估 Web Components 实用性的团队来说是一份极具参考价值的一手实践报告。
从一篇 Medium 文章到一个热门 GitHub 仓库，再到现在成为一个完整网站，33 JS Concepts 覆盖了 JavaScript 开发者必须掌握的 33 个核心概念，从调用堆栈、事件循环到 Promise、生成器，每个主题都有深度讲解和交互示例。适合初中级开发者系统性地夯实 JS 基础。
Luciano Mammino 的 Node.js 26 实战指南，用代码驱动的形式展示了容易被忽视的新特性。文章强调 v26「看起来没什么大变化」，但实际上 Temporal API、Map upsert、Iterator.concat 等改进在日常开发中极为实用。
10. 《Controlling the Speed of Infinite Animations》
Temani Afif 展示了如何用一个 CSS 变量控制无限动画的速度------加速、减速、暂停甚至反转动画，全部无需 JavaScript。这项技术在用户交互驱动的动画场景中非常实用，尤其是在性能和可访问性敏感的场景。
11. 《Soon We Can Finally Banish JavaScript to the ShadowRealm》
TC39 正在推进的 ShadowRealm 提案允许在隔离的「伪领域」中运行 JavaScript 代码，拥有独立的全局对象和内置函数。Mat Marquis 深入解读了这对于运行第三方代码、沙箱化插件系统的重要意义------你的全局作用域终于可以免受不可信代码的污染。
12. 《Better Browser Caching with No-Vary-Search》
Harry Roberts 介绍了 No-Vary-Search HTTP 响应头------它告诉缓存哪些 URL 参数可以忽略，从而大幅提升缓存命中率。虽然浏览器端支持尚有限，但 CDN 和共享缓存已经可以从中获益。对于需要精细控制缓存策略的前端架构师来说，这是一篇必读文章。
Valibot 是一个轻量、模块化的 TypeScript schema 验证库，正在成为 Zod 的有力竞争者。v1.4.0 刚刚发布。Fabian Hiller 详细对比了两者的设计哲学------Valibot 的模块化架构意味着更小的 bundle 体积和按需导入的能力，特别适合对包体积敏感的前端项目。
14. 《Fixing JavaScript Observability, One Library at a Time》
Sentry 团队的 Abdelrahman Awad 分享了他们正在推进的一项计划：用基于 diagnostics_channel 的运行时诊断方案取代传统的 Monkey-patching。这种方案不再劫持模块的方法，而是通过 Node.js 内置的诊断通道来收集可观测性数据。挑战在于说服主流库配合接入------但一旦生态跟进，JavaScript APM 工具的稳定性和性能将迎来质的飞跃。
15. 《Your Recursion is Lying to You》
ES2015 规范了尾调用优化（TCO），但 V8 从未实现它 。Gabor Koos 揭示了递归形式与运行时行为之间的鸿沟------「尾递归形式并不能自动让你的 JavaScript 栈安全」。文章中展示的 trampoline 模式是一种在不依赖 TCO 的情况下保持递归风格同时避免栈溢出的实用技巧。
16. 《科技爱好者周刊第 396 期：互联网通信的替代方案》
阮一峰本周介绍了 LoRa + Meshtastic 组合------目前最简单的个人组网方案。覆盖范围可达几十公里，只需移动电源供电，成本仅几百元。文章还涵盖了逆向验证码（阻挡真人、放行 AI）、MonkeyCode 开源 AI 开发平台、谷歌重新定义鼠标指针等内容，一如既往地视野开阔。
17. 《9 Times the Web Platform Was Influenced by JavaScript Libraries》
Jad Joubran 梳理了浏览器 API 中被 JS 库「启发」的 9 个案例------Lodash、Dojo、jQuery 等库实际上为许多最终纳入浏览器标准的功能做了「生产环境中的 R&D」。这篇文章提供了一个独特的视角来理解 Web 平台的演进逻辑：先有社区方案，再有标准化。
18. 《A Vanilla Routing Experiment》
Daniela Baron 记录了她为一个小型网站构建原生客户端路由时遇到的各种挑战。这篇文章不追求完美方案，而是诚实地展示了在没有框架的情况下处理路由的痛点------包括 History API、链接拦截、页面过渡等实际问题，对于想要理解框架价值来源的开发者来说很有启发。
19. 《AI-Generated UI 技术深度解析：模型流式输出与 UI 渲染实践》
深入探讨了 AI 生成 UI 的两大核心挑战：模型如何流式输出结构化 UI 描述 ，以及前端如何高效渲染这些动态生成的界面。文章从协议设计、状态管理和性能优化三个维度展开，对于正在探索 AI-First 开发模式的前端工程师来说是一份实践指南。
以淘宝交易结算这一高并发场景为背景，系统性地梳理了多级缓存架构的设计思路与实践陷阱，涵盖缓存一致性、穿透、雪崩等经典问题的解决方案。文章特别强调了业务特征对缓存策略选择的影响------不是所有场景都适合照搬「缓存-Aside」模式。
🔥 本周 GitHub 热榜 Top 5
21. superpowers ⭐ 190,100 (+16,900) AI Skills
一个面向 AI 编程助手的技能框架和软件开发方法论，可以直接放入 .claude 目录使用。它为 AI 编码代理提供了结构化的技能定义、执行流程和最佳实践，本周在开发者社区引发了广泛讨论。
22. ChromeDevTools MCP ⭐ 新项目 TypeScript
Google Chrome 团队官方推出的 MCP 工具集，让 AI 编程代理能够直接与 Chrome DevTools 的诊断和检查功能交互。通过 NPM 包发布，开发者可以将浏览器调试能力集成到 AI 工作流中。
23. zero-native ⭐ 新项目 Zig
Vercel Labs 推出的桌面应用框架，使用 Zig 作为核心，支持系统 WebView 或 Chromium 渲染。与 Electron/Tauri 不同的是，zero-native 追求极致的轻量化------官方示例中一个 GUI 应用仅需 1.2MB 的二进制体积。
24. OpenHuman ⭐ 新项目 Python
一个以人为本的开源 AI 框架，核心理念是隐私、简洁和高性能。在 GitHub Trending 上迅速攀升，代表了个人 AI 助手从云端走向本地的大趋势。
25. Rolldown ⭐ 新项目 Rust
VoidZero 团队打造的 Rust 高性能 JS 打包器，本周随 1.0 发布登上 Trending。作为 Vite 8 的底层引擎，Rolldown 兼容 Rollup 插件 API，打包速度比 Rollup 快 10-30 倍。
🛠️ 实用工具推荐
26. Wakaru
一个 Rust 驱动的 JS 代码反混淆工具，可以将压缩混淆后的打包代码还原为可读的模块。适用于代码恢复、逆向工程和安全审计场景。提供在线试用版本，输入混淆代码即可获得结构化的模块输出。
Microsoft Edge 团队的 Patrick Brosset 开发的命令行工具，用于查询 Web 平台特性的浏览器支持情况、已知 Bug 和文档。数据实时从 Web 平台特性数据库获取，始终最新。可以直接使用 npx web-features-cli "fetch api" 零安装使用。
28. Anime.js 4.4
这个已满十周年的 JS 动画引擎持续进化，v4.4 新增 scrambleText 效果（字符乱序动画）和自动网格布局模式（用于 stagger 动画）。Anime.js 的文档质量堪称业界标杆，交互式示例让学习曲线极其平滑。
📚 学习资源
Ishtmeet Singh 撰写的深度指南，第一卷共八章，涵盖事件循环内部机制、V8 引擎工作原理、Buffer 分配、流处理、模块解析、async/await 和进程生命周期。作者已在撰写第二卷，聚焦网络 I/O 和 API。对于想要真正理解 Node.js 底层的开发者来说，这是一份不可多得的学习材料。
📅 本期周报时间：2026.05.10 - 05.17