node.js

编程的一拳超人

【元宝搜索开发者征文大赛】四语实战：Java/Python/Go/Node.js 构建 AI 搜索应用全攻略一份 API，四种语言，四类真实业务场景，四套可运行的原型系统。作品阶段：可演示原型（四个项目均已完成开发、联调与端到端验证，提供完整源码与真实运行截图）

今年 2 月就修好的漏洞，10 月才炸：HTTP2Shell 把 Node、Python 一锅端💡 一句话总结：Google Brotli 解码器的越界写漏洞（CVE-2026-111497，CVSS 9.2）四天内从「Node.js 的事」升级成「HTTP 全栈的事」——Python requests/httpx/aiohttp、curl、Bun、Envoy、Istio 全要修；而你的 SCA 工具现在大概率还是全绿的，因为漏洞数据库压根还没录入 PyPI 包映射。

Node.js 全站死链检测工具：从 sitemap 出发一次找全 404做独立站，死链是排名和体验的双重杀手。买家点进一个链接结果是 404，马上关掉；谷歌爬虫反复撞到 404，会拉低对整个站的抓取效率和信任。站子一大，几十上百页里哪些链接已经失效，人工点一遍不现实。这篇写一个 Node.js 工具，从 sitemap 出发，把全站所有 URL 的返回状态一次查清，死链直接列出来。

解决动态 import 类型 Any 痼癖特定条件才执行的逻辑，或为了启动性能需要用到动态 import。具体场景：动态 import 源码内资源或特定情形下执行某段代码。

后台管理员把自己锁在门外：RBAC 里「自己的权限只能由别人来减」之前在 bishe-kit（Vue3 后台 + Express + SQLite 的脚手架）里做过一轮"防越权"：非超管不能分配 *、不能分配自己没有的权限、不能动比自己权限高的账号。那一轮防的都是"往上够"。

攻城狮白玉

Node.js 发布紧急安全更新：10 个漏洞，8 枚危险证书被拉黑。附AI修复提示词10 月 21 日，Node.js 官方向三个仍在维护的版本分支发布了安全更新，共修复 10 个漏洞，其中 4 个高危、3 个中危、3 个低危。

用 FastAPI + Vue3 打造一套完整的在线考试系统：从组卷到阅卷的业务闭环实践在线考试是典型的"业务链路长、角色多、状态多"的系统。它不像 CRUD 后台那样只做增删改查，而是要把题目维护 → 组卷 → 发布考试 → 在线答题 → 自动评分 → 人工阅卷 → 成绩统计这一整条链路串起来，中间还夹着倒计时、自动交卷、权限隔离等细节。

写 MCP 服务器踩的坑：stdout 是协议通道，一行不带换行的日志就能让客户端超时我写过一个离线的 MCP 服务器 cn-dev-mcp，里面是 13 个面向国内开发的小工具：节假日调休、工作日计算、身份证/信用代码格式校验、拼音、农历之类，用 Node + 官方 TypeScript SDK 写的，走 stdio，给 Cursor、Claude Code 这些客户端用。

ContentPart 联合类型实战：不碰存量消息，怎么给 ChatMessage 加图片只有纯文本对话的时候，ChatMessage.content 是一个纯 string。世界很简单——用户发消息传一段文字，模型回复也是一段文字，存进 SQLite 是 TEXT 列。

用 Node.js + Vue3 打造一个家居装修 AI 智能咨询助手装修是典型的"信息不对称"行业：风格怎么选、材料怎么挑、工艺怎么验收、预算怎么控，普通业主往往要跑十几家门店、刷上百篇笔记才能拼凑出答案。本文分享一个基于大模型的家居装修智能咨询助手的技术实现思路——用一套轻量的 Node.js 全栈方案，把"专属领域智能体"落地成一个可对话、可管理、可追溯的产品。

fs 模块完全指南：文件读写、移动删除与文件夹操作（新手友好）【Node.js】在 Node.js 开发中，文件操作是几乎每个项目都会遇到的需求——无论是读取配置文件、写入日志、还是处理上传的文件。而这一切的核心，就是 Node.js 内置的 fs 模块（File System，文件系统模块）。

不发 npm 也能 npx：用 github: 协议分发一个零依赖 CLI前几天给自己的提示词仓库 prompt-hub-cn 加了一个小功能：把里面的 6 条 Cursor rules 和 6 个 Claude skills 直接写进当前项目的 .cursor/rules/ 和 .claude/skills/ 目录。功能本身只是一个一百行不到的 Node 脚本，只用了 node:fs、node:path、node:url 这几个内置模块。

npm 的 bin 如何接到 npm run 与 npxpackage.json 里常能看到 "dev": "vite"，项目并没有全局安装 Vite，终端里直接敲 vite 也可能提示找不到命令，但 npm run dev 却能起来。装依赖不只是为了 import：bin 会在安装后接到项目的 node_modules/.bin，于是脚本和 npx 才能用短命令名找到包里的可执行文件。

import 之后发生了什么：package.json、解析与安装产物业务代码里写 import { useState } from 'react' 时，其实叠了两件事：先选定装哪一版，再选定这一版里用哪个文件。本文只谈后者——入口如何找到具体文件，以及安装时实际下载了哪些内容。下文把这套约定称为运行时契约。

npm 里 SemVer 和 dist-tag 如何决定装哪一版package.json 里写 "react": "^19.0.0"，和同事机器上装到的具体版本常常不一样；有人锁在 19.0.1，有人已经到了更高的小版本。另一边，执行 npm install some-pkg 不写版本号时，装到的也未必是「数字最大的那个」。

Node 22 下 node --test test/ 报 MODULE_NOT_FOUND：内置测试运行器的文件匹配规则前两天给一个 Express + SQLite 的后端加 GitHub Actions，矩阵配了 Node 20 和 22 两个版本。本地我一直用的是 Node 20.19.2，npm test 五个用例全绿，推上去以后第一次 CI 却是红的：server (22) 这个 job 失败，server (20) 显示的是 cancelled，连跑都没跑完。

Node学习: 网络基础概念 + HTTP模块1、ip也称为IP地址,本身是一个数字标识,例如192.168.1.3, 用来标识网络设备,实现设备间通信

写了一个邮箱验证 API 之后，我才知道的几个 SMTP 冷知识最近做了一个批量邮箱验证的服务，给 n8n 工作流和 AI Agent 用。原以为就是查个 MX、连一下 SMTP 的事，实际做下来，坑比代码多。把几个最反直觉的点记下来。

npm install卡顿可能的原因有笔者是第二种，前几天还在做一个新项目，现在又要打开一个老得不能再老的项目，node版本忘记换了，npm install 卡了半天。

无责任此方_修行中

如何不用括号调用 JS 的函数？原文地址： yet another way to invoke functions without parentheses - bartosz's blog