A Nix store is three functions

A Shai-Hulud npm payload came back 111 days later

Một con Shai-Hulud worm đã ẩn mình trong npm registry suốt 111 ngày rồi bất ngờ tái xuất …

pnpm 12.0

pnpm phiên bản 12.0 đã được phát hành là bản ổn định sau khi viết lại toàn bộ bằng Rust. Việc viết lại này nhằm cải thiện hiệu suất và độ tin cậy mà không thay đổi giao diện người dùng. Các lệnh, cờ, cấu hình và định dạng lockfile của pnpm 11 đều được giữ nguyên, nên nâng cấp không yêu cầu thay đổi dự án hiện có. Tài liệu chính thức đồng thời mô tả cách sử dụng cả hai phiên bản, giúp nhà phát triển có thể chọn phiên bản phù hợp. Bài học từ bản phát hành này là việc viết lại bằng Rust có thể mang lại lợi thế về hiệu suất, miễn là giữ nguyên tính tương thích ngược để giảm gánh nặng chuyển đổi cho người dùng.

Lập trình viên nên đọc bài này vì pnpm 12.0 được viết lại bằng Rust mang lại hiệu năng tốt hơn trong khi vẫn giữ nguyên toàn bộ cú pháp và định dạng file lock từ phiên bản trước.

Load-Bearing People

Bài viết bắt đầu bằng việc mô tả cách một gói npm tên left-pad, chỉ gồm mười một dòng JavaScript, đã được tác giả xóa khỏi kho lưu trữ công cộng vào tháng 3/2016. Vì hàng nghìn dự án Node.js và các công cụ xây dựng phụ thuộc trực tiếp hoặc gián tiếp vào left-pad để thực hiện hàm padding chuỗi, việc xóa này khiến quá trình cài đặt và biên dịch của nhiều dự án thất bại ngay lập tức. Hậu quả lan rộng đến mức các dịch vụ web lớn như Netflix, PayPal và cả các hệ thống nội bộ của các công ty công nghệ đều gặp lỗi build, dẫn đến sự gián đoạn triển khai và trong một số trường hợp là downtime tạm thời. Bài viết nhấn mạnh rằng nguyên nhân không phải do lỗi phức tạp mà là sự quáмер phụ thuộc vào một gói nhỏ, không có bản sao lưu hoặc phiên bản dự phòng trong hệ thống quản lý phụ thuộc. Kết luận là để tránh tình trạng tương tự, các đội ngũ cần áp dụng chính sách khóa phiên bản, kiểm tra lại cây phụ thuộc và cân nhắc sao chép mã nguồn quan trọng vào nội bộ thay vì tin tưởng hoàn toàn vào gói bên ngoài.

Những dòng code làm sập Internet dạy chúng ta về tầm quan trọng của con người trong cấu trúc nhóm và trách nhiệm cá nhân.

Figma agent vs. one button: shipping design tokens to npm

Tác giả đã tự động hóa việc release design tokens bằng hai AI agents, tốn sáu phút cho mỗi lần chạy. Trong khi đó, một nút bấm trong plugin đã có từ nhiều năm nay chỉ cần vài giây. Sự khác biệt hiệu suất này cho thấy AI agents không phải lúc nào cũng tối ưu cho tác vụ đơn giản. Bài viết minh họa việc cân nhắc giữa giải pháp tự động hóa phức tạp và giải pháp đơn giản, hiệu quả hơn. Những ai làm việc với design tokens và hệ thống CI/CD có thể rút ra bài học về lựa chọn công cụ phù hợp.

Bài này giúp bạn hiểu được sự cân bằng giữa giải pháp AI tự động và các công cụ đơn giản khi quản lý design tokens trong môi trường phát triển.

Package Manager Trends

Trong bối cảnh hệ sinh thái Rust package ngày càng phát triển, vấn đề xuất bản bản vá lỗi nóng (hotfix) trở nên khó khăn. Nguyên nhân kỹ thuật là cơ chế của cargo publish không có tính năng "cooldown" tự động, dẫn đến việc một phiên bản mới nhất được publish ngay lập tức. Hệ quả là người dùng buộc phải sử dụng các flag như min-release-age, minimum-release-age hoặc -Zmin-publish-age để buộc thời gian chờ giữa các lần publish. Điều đáng học là Rust community đang tích cực tìm giải pháp để ngăn chặn publish lỗi do vội vàng, thể hiện qua các cuộc thảo luận về tính năng "cooldown" trong Cargo.

Lập trình viên nên đọc bài này để nắm cách sử dụng các flag mới của Cargo kiểm soát thời gian phát hành package.

npm 12 Released: Install Scripts Off by Default as Registry Moves to Explicit Trust

npm 12 mặc định tắt cài đặt scripts trong quá trình cài đặt package, buộc người dùng phải cho phép rõ ràng khi chạy scripts. Thay đổi này nhằm tăng cường bảo mật khi registry npm chuyển sang mô hình tin cậy minh bạch.

Lập trình viên nên đọc bài này vì npm 12 thay đổi cơ chế bảo mật bằng cách cắt bỏ mặc định quyền chạy script từ các gói npm, giúp giảm rủi ro từ các cuộc tấn công thông qua các lệnh tự động chạy trong dự án.

Node.js — Node.js Interactive 2026: A Recap

Node.js là môi trường runtime JavaScript miễn phí, mã nguồn mở, đa nền tảng, cho phép nhà phát triển xây dựng server, ứng dụng web, công cụ dòng lệnh và script.

Lập trình viên Node.js nên đọc để cập nhật về tiến bộ mới nhất của nền tảng này, đặc biệt là những tính năng và cải tiến trong phiên bản 2026, giúp tối ưu hiệu suất, mở rộng khả năng ứng dụng và tránh lỗi trong dự án hiện tại.