2026-08-02-前端与AI技术周报
内容提要
本期前端与AI技术周报涵盖Node.js多分支安全修复、Vite 8.2.0稳定发布、pnpm自动化更新等。重点包括Node.js修复11个CVE，Vite增强开发服务器功能，pnpm支持GitHub Actions更新和changeset生成，另有Rspack、Rolldown、npm等工具更新，以及Cursor iPad客户端和TanStack品牌更新。
延伸解读
安全修复优先级：高危CVE需立即行动
Node.js 本次修复的 11 个 CVE 中，HTTP/2 相关漏洞（如 heap-use-after-free）和 Permission Model 路径越权被标记为高危。对于运行生产服务或启用 Permission Model 的团队，建议优先安排升级，避免因外部流量或权限绕过导致安全风险。
构建工具升级需关注兼容性
Vite 8.2.0 和 Rspack 2.1.7 的更新各有侧重：Vite 增强了开发服务器功能，但需注意插件集成测试；Rspack 则撤回了实验性的 import.meta.env，已试用的项目需迁移到现有方案。升级前建议在预发布环境验证构建产物和插件兼容性。
pnpm 自动化更新提升 monorepo 效率
pnpm 11.15–11.19 新增的 GitHub Actions 更新和 changeset 生成功能，可简化依赖维护和发布流程。但配置键的变更（如 update、audit 段）需要团队迁移，建议在预发布分支验证更新和发包流程，避免影响现有工作流。
Q&A
Node.js 在 2026 年 7 月发布了哪些安全更新版本？修复了哪些关键漏洞？
Node.js 于 7 月 29 日发布了 22.23.2、24.18.1 和 26.5.1 版本，共修复 11 个 CVE。其中高危问题包括 HTTP/2 保留 header 绕过 maxSessionMemory、HTTP/2 重入发送导致 heap-use-after-free，以及 Permission Model 路径匹配越权。此外还修复了 HTTPS Agent 的 PFX 身份复用、会话复用跳过主机名校验，以及 node:sqlite、dns、zlib 等路径问题。
Vite 8.2.0 稳定版有哪些新功能和改进？
Vite 8.2.0 于 7 月 30 日发布，主要改进包括：server.fs.allow 新增 input 选项，原生配置不兼容位置会给出列号，开发服务器网络地址标示接口名称；bundled-dev 支持 worker 文件 HMR，并在重建后直接刷新。同时修复了服务重启时环境快照丢失、插件注入优化依赖后的 interop import、冻结 Object.prototype 时 module runner 堆栈追踪失效等问题。
pnpm 11.15–11.19 版本为 GitHub Actions 和 monorepo 工作流增加了哪些自动化能力？
pnpm 11.15–11.19 新增了通过 --include-github-actions 或 update.githubActions 配置来检查和更新 workflow 中的 Actions，更新后固定 commit 并保留 tag 注释；pnpm update --changeset 可为 workspace 依赖变更生成 changeset。此外，pnpm-workspace.yaml 新增 update 和 audit 配置段，publishConfig.name 允许发布产物使用不同包名，self-update 不再受项目配置干扰。
Rspack 2.1.7 撤回 import.meta.env 对用户有什么影响？
Rspack 2.1.7 撤回了 2.1.6 中实验性的 import.meta.env 支持，因此已在 2.1.6 中试用该功能的配置在 2.1.7 不再可用。用户需要迁移到现有的环境变量注入方案，并验证构建是否正常。
Rolldown 1.2.1 为插件开发增加了哪些新能力？
Rolldown 1.2.1 新增了 hotUpdate hook 和 disableWatcher 绑定，插件侧支持 resolveFileUrl 及 import.meta.ROLLDOWN_FILE_URL_* 上下文，PLUGIN_TIMINGS 可展示 output-option 回调。同时修复了代码分割中的严格执行顺序、CommonJS barrel、动态 import 与 source map 等问题。
Cursor 在 iPad 和印度市场推出了哪些新功能或套餐？
Cursor 于 7 月 29 日向全部付费计划开放 iPad 客户端，支持固定侧栏、同时观察多个 agent、分屏查看 review/chat 与完整 diff，并新增 Inbox 和完整 PR 审查流程。7 月 28 日在印度推出每月 ₹649 的 Cursor Start 套餐，包含 Grok 4.5、Composer、常驻 cloud agents 与 iOS 远程控制。
TanStack 品牌更新是否会影响其库的 API？
TanStack 于 7 月 29 日发布了新的 logo、设计系统与品牌视觉，但未宣布 TanStack Query、Router、Table 等库的 API 或版本变化，因此运行时行为不受影响。
