pnpm 12.6

Malicious npm packages evade install-script defenses at runtime

Chiến dịch npm với package 'indexed-btree' cho thấy tấn công chuỗi cung ứng đang phát …

Deterministic Multi-Agent State Machines in TypeScript

Bối cảnh phát sinh nhu cầu thiết kế multi-agent orchestration với state machine type-safe trong TypeScript. Nguyên nhân kỹ thuật là việc quản lý trạng thái phức tạp của nhiều agent dẫn đến race conditions và trạng thái không xác định khi gặp runtime failure. Giải pháp sử dụng state charts với atomic transitions và checkpoint storage bằng TypeScript để đảm bảo tính xác định và phục hồi lỗi. Hệ quả đạt được là hệ thống có khả năng xử lý lỗi runtime và khôi phục trạng thái từ checkpoint mà không bị mất dữ liệu quan trọng. Điều đáng học là cách implement explicit state machines trong TypeScript giúp tăng độ tin cậy và kiểm soát luồng thực thi của hệ thống phân tán.

Đây là phương pháp thiết kế hệ thống đa tác nhân an toàn kiểu với khả năng phục hồi lỗi hiệu quả cho các dự án phức tạp.

Upcoming Next.js Security Update for a Critical Upstream Issue

Next.js sẽ phát hành bản cập nhật bảo mật quan trọng phiên bản 16.3.6 và 15.5.26 vào ngày 22/09/2026. Bản vá này giải quyết một lỗ hổng nghiêm trọng từ thư viện upstream. Lỗ hổng này cho phép thực thi mã từ xa trong môi trường server-side components. Nhà phát triển cần cập nhật ngay khi bản vá ra mắt để bảo vệ ứng dụng. Các bản cũ hơn cũng nên được kiểm tra và cập nhật sớm nhất có thể.

Lập trình viên nên đọc bài này để cập nhật bản vá bảo mật quan trọng cho Next.js và đảm bảo ứng dụng của mình không bị ảnh hưởng bởi lỗ hổng nghiêm trọng.

pnpm 12.5

pnpm 12.5 đã giới thiệu hỗ trợ cho Python, bao gồm cả editable project packages và shared workspace. Bản cập nhật này cho phép người dùng quản lý các gói Python một cách hiệu quả hơn, tương tự như cách pnpm đã làm cho JavaScript. Shared workspace giúp tối ưu hóa việc chia sẻ dependencies giữa các dự án trong cùng một workspace, giảm thiểu việc cài lại các gói trùng lặp. Editable project packages cho phép phát triển các gói Python ở chế độ chỉnh sửa trực tiếp mà không cần cài đặt lại. Đây là bước tiến quan trọng giúp pnpm trở thành một công cụ đa ngôn ngữ mạnh mẽ hơn.

Lập trình viên cần đọc về pnpm 12.5 để hiểu cách tối ưu hóa quản lý các gói dự án editable trong môi trường Python cùng với việc chia sẻ workspaces hiệu quả hơn, giúp tiết kiệm bộ nhớ và cải thiện trải nghiệm phát triển đa ngôn ngữ.

ESLint v10.11.0 released

ESLint phiên bản 10.11.0 đã được phát hành, đây là công cụ linting có khả năng mở rộng và cấu hình để phát hiện và báo cáo các mẫu mã trong JavaScript. Phiên bản mới này tập trung vào cải thiện hiệu suất và trải nghiệm người dùng với các tính năng mới như auto-fix cho nhiều quy tắc phổ biến. ESLint giúp duy trì chất lượng code một cách dễ dàng nhờ hệ thống quy tắc linh hoạt và khả năng tùy chỉnh cao. Với hơn 50 quy tắc tích hợp sẵn và hỗ trợ plugins từ cộng đồng, ESLint trở thành công cụ không thể thiếu cho các dự án JavaScript quy mô lớn.

Lập trình viên nên đọc bài này để cập nhật các tính năng mới và cải tiến trong ESLint v10.11.0 giúp nâng cao chất lượng code JavaScript.

Ship cleaner packages (without the ./dist or ./src folder) by publishing a subfolder to NPM

Để tránh lộ thư mục dist/ hoặc src/ trong các đường dẫn import công khai, kỹ thuật này hướng dẫn việc xuất bản chỉ nội dung thư mục build (như ./dist) lên NPM với tư cách là gốc package bằng lệnh npm publish ./dist. Phương pháp này đòi hỏi thư mục phải chứa package.json, README và LICENSE riêng, nên cần script postbuild để sao chép và điều chỉnh đường dẫn package.json. Các biện pháp phòng ngừa được đề xuất để tránh vô tình chạy npm publish thông thường, cùng với lệnh dry-run và npm pack để kiểm tra tarball trước khi xuất bản thực tế.

Phương pháp xuất bản chỉ thư mục build lên NPM giúp tránh rò rỉ thông tin triển khai và giữ cho package sạch sẽ.

Bun v1.4.2

Bản phát hành Bun v1.4.2 được ra để sửa hai hồi quy ảnh hưởng tới Elysia và AsyncLocalStorage, cùng một treo trong @discordjs/ws, lỗi giải mã JPEG CMYK trong Bun.Image, một trường hợp crash JIT hiếm và một lỗi GC trên hệ thống musl. Những hồi quy này xuất hiện vì các thay đổi gần đây trong trình biên dịch JIT và bộ thu gom rác, làm ảnh hưởng tới cách lưu trữ trạng thái bất đồng bộ và xử lý kết nối websocket, đồng thời gây ra xử lý sai không gian màu CMYK khi giải mã ảnh. Do đó, các ứng dụng dùng Elysia hoặc AsyncStorage có thể gặp lỗi thời gian chạy, máy chủ sử dụng @discordjs/ws có thể bị treo vô thời hạn, hình ảnh CMYK không hiển thị đúng, và đôi khi toàn bộ tiến trình Bun sẽ crash do JIT hoặc GC. Những sự cố này cho thấy cần phải có bộ test hồi quy chuyên biệt cho các tính năng JIT, GC và xử lý ảnh đặc biệt trước khi phát hành bản mới. Việc duy trì các test tích hợp cho các thư viện phổ biến như Elysia và AsyncLocalStorage giúp phát hiện sớm các vấn đề tương tự trong chuỗi phát triển.

Lập trình viên cần đọc về Bun v1.4.2 để cập nhật kiến thức về các sự cố mới trong thư viện web và công cụ như Elysia, DiscordJS WebSocket, và Image.JS, giúp tránh lỗi trong dự án khi sử dụng phiên bản cũ.