文章讲述Node.js项目迁移到Azure容器构建后报“vite: not found”。根因是package-lock.json中528个依赖的resolved字段指向仅开发环境可访问的内部代理主机，npm ci下载失败却未使构建中断。修复方法是仅重写这些公共包URL前缀为npm官方源，保留版本与完整性值，并在每次独立安装后检查Vite可执行文件，分阶段构建验证。

Databricks研究扫描npm恶意包，发现3.8%捆绑二进制文件，此类包比纯源码包更难被LLM识别，失败率为14.4%对6.2%。测试九个模型发现四种系统性失败模式：合理化、忽视、含糊和虚构。引入能力配置文件注入领域知识后，检测失败率从50%降至4%，消除所有误判为良性的结果，使廉价模型达到昂贵模型的检测精度。

GitHub 调整 NPM 可信发布规则，新配置须在 48 小时内完成首次发布，否则失效。此举旨在修复仓库名回收漏洞：维护者重命名或删除仓库后，攻击者可注册同名仓库获取发布凭证，向原包推送恶意版本。约 1500 个包受影响。NPM 还限制 issue_comment 事件触发发布。

文章解释为何Go、Rust等原生CLI常通过npm分发：npm实为跨平台应用商店，提供统一入口、npx免安装、免费CDN与版本管理。包装分单包内置、postinstall下载、optionalDependencies子包三种。文中拆解飞书CLI的package.json、install.js、run.js与GoReleaser配置，并实战演示将Go版HelloWorld发布到npm，涵盖注册、交叉编译、启动器编写、发布升级及避坑要点。

Vercel Agent 可通过 Vercel 共享环境变量中的凭据，从 npm 和自定义注册表安装私有依赖。npm、pnpm 和经典 Yarn 在 Agent 会话中的认证方式与 Vercel 构建相同。需添加 Development 或 Preview 共享环境变量：私有包用 NPM_TOKEN，自定义或多注册表用 NPM_RC。Agent 仅读取团队共享变量，凭据值留在沙箱外，Agent 无法读取。

2026年9月21日至27日技术周报：OpenAI为ChatGPT Work与Codex推出GPT-6 Sol和Luna，分别面向复杂编程与高吞吐任务；npm 12.1.0与11.20.0支持细粒度staging令牌并修复provenance；Rolldown 1.2.10/1.2.11改进目录监听与构建计时；Oxlint、Oxfmt更新规则与Markdown格式化；Prettier 3.9.9修复Markdown中$误判；Electron多分支修复DevTools等问题，45 alpha移除sandboxed preload部分Node全局。

NPM联合创始人沃斯指出，开源维护者难以获得收益，因为企业付费大多流向镜像、扫描等供应链服务商。他建议由NPM等仓库对大型企业计量收费，个人和小团队仍免费，收入按依赖树自动分配给维护者。该方案不改许可证，避免分叉，仅改变资金流向。研究显示，开源为企业创造约8.8万亿美元价值，其中96%由约5%的开发者贡献。

npm 新增“仅暂存”细粒度令牌：工作流通过 npm stage publish 提交候选版本，维护者经 2FA 批准后发布，将上传与公开分离。令牌泄露无法直接发布新版本，但仍可修改 dist-tag、弃用版本，需按写权限管理。npm 计划 2027 年 1 月取消绕过 2FA 直接发布，团队应逐步迁移，先在低风险包演练，并保留审计与回滚。

v0 现支持通过 Vercel 共享环境变量安装私有 npm 包和自定义注册表包，便于团队使用现有设计系统、组件库和内部包。可用 NPM_TOKEN 访问 npmjs 私有包，或用 NPM_RC 配置多个注册表及作用域。凭证可标记为敏感，v0 不会暴露给模型或写入沙箱文件系统。

npm 注册表遭蠕虫攻击，恶意包自更新并窃取凭证，已进化多代，最新变种利用合法签名管道绕过验证。攻击源于自动化发布和长期凭证，影响 npm 及 Terraform 等基础设施。防御需固定依赖版本、限制来源、使用短期凭证、控制网络出口，并视构建管道为关键基础设施。

澳洲警方与FBI合作逮捕了网络犯罪集团TeamPCP的两名核心成员，21岁的汤姆森和23岁的盖布勒，共面临14项指控。该集团通过NPM生态系统发动“沙虫”蠕虫供应链攻击，造成全球经济损失。执法机构已扣押电子设备取证，但预计类似攻击仍会继续。

安全研究人员披露了一起npm供应链攻击，影响超400个包，涉及Keyv和Cacheable。攻击者利用窃取的开发者凭据发布恶意版本，植入Mini Shai-Hulud蠕虫，窃取凭据并自动发布感染包。该攻击暴露了可信发布的弱点，建议升级npm CLI 12、固定版本、重建受影响系统，并限制自动化流程权限。

GitHub高级工程经理Ankit Kumar Honey介绍如何优化Dependabot依赖更新工具，通过分组更新、降低频率和优先处理安全修复，减少大量拉取请求对仓库的干扰。文章还提及针对npm和GitHub Actions的供应链攻击防护改进，以及新增的三天冷却期，让维护者有时间处理安全发现后再发布版本更新。

GitHub 更新了 Dependabot，新增默认三天冷却期，延迟版本更新拉取请求，以便维护者和安全研究人员在代码合并前处理发布中的问题。同时，GitHub 重组了漏洞赏金计划，改善研究人员体验，并在45天内为超过14000个仓库中的活跃仓库确定了有效所有者，归档其余仓库，将所有权作为后续工作的基础。

2026年7月12日的技术周报介绍了TypeScript 7.0的发布，Go语言重写显著提升了构建速度；OpenAI推出了GPT-5.6系列和全双工语音模型GPT-Live；Bun成功从Zig迁移至Rust，内存占用显著降低；npm 12.0.0发布，包含多项破坏性变更。

2026年6月22日的前端技术周报介绍了pnpm、npm和Yarn的更新。pnpm修复了安全漏洞并新增功能；npm 12.0.0预览版收紧了依赖安装要求；Yarn 4.17.0新增包映射功能。此外，Rspack和Rolldown发布了新版本，改进了构建和模块解析，Storybook修复了多个问题并升级了构建工具。