> Axios 供应链攻击引发广泛关注；Node.js 多版本安全更新发布，安全赏金计划却因断资暂停；Temporal API 达 Stage 4 后 Node 推进默认启用；TypeScript 6.0 发布，迈向 Go 原生编译器。

## 🔥 头条

### [Node 默认启用 Temporal](https://github.com/nodejs/node/pull/61806)

Temporal API 旨在现代化 JavaScript 的日期/时间处理，上月达到 Stage 4。Node 此前等待 V8 默认启用该特性，现已开始推进。

## 📖 文章

### [一站式 Node 应用监控](https://www.appsignal.com/?utm_source&amp;#x3D;newsletter&amp;amp;utm_medium&amp;#x3D;paid&amp;amp;utm_campaign&amp;#x3D;nodeweekly&amp;amp;utm_term&amp;#x3D;4-16&amp;amp;utm_content&amp;#x3D;primary)

AppSignal 可处理 Node.js 技术栈的错误、性能、日志、运行时间和主机指标，自动插桩 Express、Koa、Prisma 和 BullMQ。

### [OWASP NPM 安全速查表](https://cheatsheetseries.owasp.org/cheatsheets/NPM_Security_Cheat_Sheet.html)

一份持续更新的实用安全检查清单，近期更新涵盖禁用生命周期脚本、typosquatting 防护等内容。

### [嵌套 Promise 的用途](https://blog.jcoglan.com/2026/03/23/uses-for-nested-promises/)

James 重新审视 2013 年 Promises/A+ 单子辩论，因遇到一个真实并发问题而改变了看法。有深度但值得读。

### [让 Postgres 承担分析任务](https://www.tigerdata.com/timescaledb?utm_source&amp;#x3D;content-syndication&amp;amp;utm_medium&amp;#x3D;referral&amp;amp;utm_campaign&amp;#x3D;node-weekly-newsletter)

TimescaleDB 添加了超表、95% 压缩率和连续聚合功能，无需第二数据库或数据管道。免费试用。

### [POSETTE Postgres 线上大会](https://posetteconf.com/2026/schedule/)

POSETTE: An Event for Postgres 2026 是一场免费虚拟开发者活动，6 月 16-18 日举行，44 场演讲将直播并提供回放。

### [Promise 的"取消"之道](https://www.inngest.com/blog/hanging-promises-for-control-flow)

Promise 无法取消，但可通过让 async 函数 await 一个永不 resolve 的 Promise 来中止执行，函数会静默停止并被 GC 回收。

### [Node 安全赏金计划暂停](https://nodejs.org/en/blog/announcements/discontinuing-security-bug-bounties)

自 2016 年以来 Node.js 项目为合格安全漏洞报告提供赏金，资金来自 Internet Bug Bounty 项目，现已因失去资助而暂停。

### [tsdown 支持生成可执行文件](https://tsdown.dev/options/exe)

VoidZero（尤雨溪的公司）的库打包工具 tsdown 现支持使用 Node 的 Single Executable Applications 功能构建独立可执行文件。

### [分析无需独立基础设施](https://www.tigerdata.com/timescaledb?utm_source&amp;#x3D;cooperpress&amp;amp;utm_medium&amp;#x3D;referral&amp;amp;utm_campaign&amp;#x3D;node-weekly-newsletter)

TimescaleDB 扩展 Postgres 使分析可直接运行在实时数据上，相同连接、无需管道、无需第二数据库。免费开始。

### [Marked.js 18.0 快速 Markdown 解析](https://marked.js.org/)

为速度而生的底层 Markdown 编译器，同时支持客户端和服务端。v18 为错误修复版本。

### [Memetria K/V: Redis 托管服务](https://dashboard.memetria.com/nodeweekly/)

Memetria K/V 为 Node.js 应用提供 Redis OSS 和 Valkey 托管，支持大键追踪和详细分析。

### [Axios 事件隐性影响范围](https://socket.dev/blog/hidden-blast-radius-of-the-axios-compromise)

你可能已听说 Axios 供应链攻击（若未了解请检查是否受影响）。Ahmad 反思了攻击机制和更广泛的影响。

### [npm Workspaces 入门指南](https://wasp.sh/blog/2026/03/25/gentle-intro-npm-workspaces)

使用 workspaces 可在一个仓库中管理多个包，本地包按名称互相导入，npm 可提升和去重依赖。

### [沙箱中运行 AI Agent](https://www.ox.build/?utm_source&amp;#x3D;cooperpress&amp;amp;utm_medium&amp;#x3D;referral&amp;amp;utm_campaign&amp;#x3D;node-weekly-newsletter)

Ox 为每个 Agent 任务创建独立沙箱，隔离代码、计算和数据，可对生产环境进行零风险测试。

### [Node.js 3月安全更新发布](https://nodejs.org/en/blog/vulnerability/march-2026-security-releases)

Node.js v25.8.2 (Current)、v24.14.1 (LTS)、v22.22.2 (LTS) 和 v20.20.2 (LTS) 发布，修复 9 个漏洞（其中 2 个高危）。

### [V8 抗 HashDoS 可逆哈希设计](https://nodejs.org/en/blog/vulnerability/march-2026-hashdos)

哈希能否同时抗哈希洪泛攻击（HashDoS）又快速可逆？这是 Node 团队在本周安全更新中为 V8 解决的难题。

### [Clerk M2M 令牌支持 JWT](https://clerk.com/changelog/2026-02-24-m2m-jwt-tokens?utm_source&amp;#x3D;cooper_press&amp;amp;utm_medium&amp;#x3D;newsletter&amp;amp;utm_campaign&amp;#x3D;jwt-m2m&amp;amp;utm_content&amp;#x3D;03-26-26&amp;amp;dub_id&amp;#x3D;UCAdsVvAJP7iF6ji)

无需网络请求即可本地验证机器对机器令牌，自包含 JWT 携带机器 ID、声明和过期时间。

### [400MB 内存去哪了？](https://frn.sh/pmem/)

深入排查一个 Node WebSocket k8s Pod 为何比同类 Pod 消耗更多内存，尽管 process.memoryUsage() 显示正常。

### [JavaScript 臃肿三大根源](https://43081j.com/2026/03/three-pillars-of-javascript-bloat)

node_modules 过大的三个原因：不必要的 ES3 兼容包、只有单一消费者的微型库、已有原生 API 的 ponyfill。

## 🛠 工具

### [Node.js 24.15.0 LTS 发布](https://nodejs.org/en/blog/release/v24.15.0)

Node LTS 版本从 v25 移植了若干特性，包括 require(esm) 和模块编译缓存标记为稳定，以及 --max-heap-size 选项。

### [x-win: 检查系统窗口信息](https://github.com/miniben-90/x-win)

获取 macOS、Linux 和 Windows 上打开窗口的位置、大小、应用图标和标题，以及其底层进程信息和内存使用情况。

### [Axios 供应链攻击复盘](https://github.com/axios/axios/issues/10636)

Axios 团队分享了近期供应链攻击的详细复盘，攻击者通过恶意依赖注入了木马。

### [web-audio-api: Node 中用 Web Audio](https://github.com/audiojs/web-audio-api)

在 Node 中获得完整 Web Audio API 支持，可在本机播放音频或渲染为文件（Tone.js 也可用），提供丰富示例。

### [Node.js 25.9.0 Current 发布](https://nodejs.org/en/blog/release/v25.9.0)

包含 --max-heap-size 选项设置进程最大堆内存，James Snell 的实验性"更好流 API"实现作为实验特性落地。

### [node-re2: RE2 正则库绑定](https://github.com/uhop/node-re2)

RE2 是线性时间匹配的正则表达式库，免疫回溯导致的 ReDoS 攻击。node-re2 提供近乎完整的 RegExp 替代。

### [Defuddle: 提取网页正文](https://github.com/kepano/defuddle)

去除 HTML 杂乱内容，只保留主要正文。提供在线演示。

### [Knip v6: 快速清理项目冗余](https://knip.dev/blog/knip-v6)

Knip 已成为查找和移除未使用文件、导出和依赖的首选工具。v6 采用 oxc-parser 实现 2-4 倍性能提升。

### [Vavite 6: Vite 全栈开发](https://github.com/cyco130/vavite)

使用 Vite 开发后端 Node.js 代码，获得前后端统一的工具链和热重载。v6 带来多项改进。

### [htmlparser2 12.0 解析器发布](https://github.com/fb55/htmlparser2)

消费文档并调用回调，也可生成 DOM。提供在线演示，同时支持 Node 和浏览器。

### [TypeScript 6.0 发布](https://devblogs.microsoft.com/typescript/announcing-typescript-6-0/)

TypeScript 6.0 旨在为从自托管编译器过渡到 Go 驱动的原生编译器（TypeScript 7.0）铺平道路。




---

——微信「右耳朵猫AI」

Axios 供应链攻击引发广泛关注；Node.js 多版本安全更新发布，安全赏金计划却因断资暂停；Temporal API 达 Stage 4 后 Node 推进默认启用；TypeScript 6.0 发布，迈向 Go 原生编译器。

Node.js技术周刊 2026年第16周

后端

编程语言

安全

本期Node.js动态包括：Axios供应链攻击复盘与安全影响分析，Temporal API达Stage4后Node推进默认启用日期时间处理。TypeScript 6.0发布，为Go原生编译器铺路。安全更新覆盖Node.js多版本，修复9个漏洞。工具推荐Knip v6性能提升2-4倍，Defuddle高效提取网页正文。TimescaleDB实现Postgres直接分析实时数据，无需额外基础设施。

数据管道

数据库

编译器

Windows

Redis

Linux

Agent

9.9元起，最快1天搭建自有直播平台


文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

本期Node.js动态包括：Axios供应链攻击复盘与安全影响分析，Temporal API达Stage4后Node推进默认启用日期时间处理。TypeScript 6.0发布，为Go原生编译器铺路。安全更新覆盖Node.js多版本，修复9个漏洞。工具推荐Knip v6性能提升2-4倍，Defuddle高效提取网页正文。...

Node.js技术周刊 2026年第16周-腾讯云开发者社区-腾讯云

Node.js技术周刊 2026年第16周

Node.js技术周刊 2026年第16周

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐