#nodejs

Issue #630: Node.js 26.4 lands package maps — Node Weekly

Node.js 26.4 bổ sung hỗ trợ thử nghiệm package maps (giải quyết package từ file JSON tĩnh thay vì duyệt node_modules) và bắt đầu giới thiệu subsystem node:vfs của Matteo Collina. Bản tin cũng đề cập đến phân tích về hạn chế bảo mật của npm v12 khi chặn script cài đặt mặc định, bài viết suy đoán về npm chạy trên AT Protocol, TypeScript 7.0 RC với compiler Go nhanh gấp 10 lần, và framework Eve của Vercel cho xây dựng AI agent theo cấu trúc Next.js.

Lập trình viên nên đọc để cập nhật về Node.js 26.4, đặc biệt là tính năng mới về package maps (tối ưu hóa giải quyết phụ thuộc từ JSON thay vì khám phá node_modules) và vfs subsystem của Matteo Collina, giúp cải thiện hiệu suất và quản lý dự án.

How to Build Secure-by-Default Node.js APIs

Bài viết hướng dẫn xây dựng các API Node.js HTTP theo tiêu chuẩn bảo mật mặc định mà không cần phụ thuộc thư viện ngoài. Sáu biện pháp bảo vệ cốt lõi bao gồm: giới hạn kích thước body request (đo bằng bytes khi streaming), timeout request sử dụng AbortController, phân tích JSON an toàn chống tấn công prototype pollution, thiết lập tiêu đề bảo mật (CSP, HSTS, v.v.), so sánh secret an toàn bằng crypto.timingSafeEqual, và xác thực đầu vào chặt chẽ ngăn chặn mass-assignment. Ngoài ra còn giải thích CORS đúng cách, xử lý lỗi có cấu trúc với request ID, và nhấn mạnh triết lý "bảo mật mặc định tốt hơn checklist".

Lập trình viên nên đọc bài này để tránh rủi ro bảo mật khi phát triển API Node.js bằng cách áp dụng các quy tắc an toàn mặc định từ cơ sở, từ việc kiểm soát kích thước request đến xử lý mật khẩu an toàn, giúp giảm thiểu lỗ hổng mà không cần phụ thuộc vào thư viện phụ.

CQRS Without the Astronaut Architecture

Bài viết hướng dẫn triển khai CQRS trong Node.js/TypeScript theo cách đơn giản, không cần …

Authorized Logger

Một nhà phát triển tên Gretchen gia nhập dự án Node.js cũ kỹ sau khi bị mua lại và phát hiện hàng loạt lỗi nghiêm trọng: logging bị hỏng chỉ in ra "DEBUG", lỗ hổng SQL injection từ truy vấn thô, thiếu middleware phân quyền trên hầu hết endpoints (kể cả API admin), codebase dừng ở Node.js 14, và dữ liệu request được đưa trực tiếp vào database mà không qua bất kỳ validation nào.

Lập trình viên nên đọc bài này để tránh rơi vào những sai lầm an toàn và thiết kế không hiệu quả trong dự án Node.js, từ đó học cách cải thiện bảo mật, quản lý lỗi và tối ưu hóa hệ thống ngay từ giai đoạn đầu.

Node.js — Node.js 24.18.0 (LTS)

Node.js 24.18.0 LTS (tên mã 'Krypton') bổ sung nhiều cải tiến quan trọng như cập nhật chứng chỉ gốc lên NSS 3.123.1, tối ưu hóa socket HTTP idle, tăng kích thước mặc định Buffer.poolSize lên 64 KiB, bổ sung thuật toán TurboSHAKE, KangarooTwelve cho Web Cryptography, hỗ trợ mã trạng thái HTTP 1xx tùy ý, và cải thiện bảo mật crypto (chống tấn công prototype pollution, tương thích BoringSSL, hỗ trợ ML-DSA/ML-KEM JWK). Ngoài ra, phiên bản này nâng cấp npm lên 11.16.0, SQLite lên 3.53.1 cùng nhiều sửa lỗi khác.

Lập trình viên nên đọc bài này vì phiên bản Node.js mới 24.18.0 LTS mang đến những cải tiến an toàn và hiệu năng quan trọng như hỗ trợ mã hóa WebCrypto mới, nâng cấp bảo mật và cải thiện trải nghiệm phát triển với các tính năng như kiểm soát chính xác độ phủ code và tối ưu hóa stream.

Node.js — Node.js 22.23.0 (LTS)

Node.js 22.23.0 (LTS) là bản cập nhật bảo mật chỉ tập trung vào dòng LTS 'Jod', vá 11 lỗ hổng CVE, bao gồm các lỗi nghiêm trọng về chuẩn hóa hostname TLS, bảo vệ độ dài cipher WebCrypto, tăng trưởng bộ nhớ không giới hạn HTTP/2, tiêm NUL byte vào DNS/net hostname, rò rỉ credential proxy, và poisoning hàng đợi HTTP. Các dependency như nghttp2, OpenSSL, llhttp, undici cũng được nâng cấp.

Lập trình viên Node.js nên đọc bài này để cập nhật các bản vá an toàn mới nhất, đặc biệt là các lỗ hổng TLS và WebCrypto có thể ảnh hưởng đến tính bảo mật của ứng dụng web của bạn.

Your AI shipped a backend that boots. That is the whole problem.

AI sinh ra code backend thường vượt qua test nhưng lại chứa lỗ hổng bảo mật nghiêm trọng như kích thước body không giới hạn, CORS wildcard cho phép credentials, fetch dễ bị SSRF, và thiếu xác thực. Giải pháp là đảo ngược các tùy chọn mặc định để lựa chọn an toàn trở nên dễ dàng hơn. DaloyJS (framework TypeScript của tác giả) thể hiện các mẫu secure-by-default như giới hạn body cứng, fetch chống SSRF, từ chối chạy wildcard CORS trong production, và ngăn chặn tấn công JWT algorithm confusion. Họ cũng giảm thiểu rủi ro supply chain bằng cách loại bỏ dependencies runtime, sử dụng npm provenance, SBOMs, và chặn cài đặt package mới trong 24 giờ đầu.

Lập trình viên nên đọc bài này để hiểu cách thiết kế lại các quy tắc an toàn mặc định trong backend, từ những lỗ hổng AI tạo code phổ biến đến giải pháp chuyển đổi các biện pháp bảo mật từ khó sang dễ thực hiện.

Building a Shopping Cart In Nodejs

Bài viết hướng dẫn chi tiết cách xây dựng nền tảng thương mại điện tử sử dụng Node.js làm backend và các framework frontend như Angular, React, Vue.js. Nó bao gồm thiết lập backend, cài đặt packages, cấu hình server, tạo models và routes với MongoDB, kiểm thử routes, cùng tích hợp tính năng giỏ hàng.

Lập trình viên Node.js nên đọc bài này để hiểu cách triển khai tính năng cart (giỏ hàng) từ cơ sở hạ tầng backend đến giao diện người dùng với các framework frontend phổ biến.

Create better emails during development

MailDev là công cụ đơn giản để kiểm tra email do dự án tạo ra trong quá trình phát triển, cung cấp giao diện web dễ sử dụng chạy trên máy cá nhân, hỗ trợ Docker và tích hợp Node.js. Ngoài ra, nó còn cho phép cấu hình email gửi đi.

Là lập trình viên phát triển ứng dụng gửi email, MailDev giúp bạn kiểm tra ngay các email tự động sinh ra trong môi trường phát triển mà không cần phụ thuộc vào dịch vụ email bên ngoài, tiết kiệm thời gian và tránh lỗi liên quan đến cấu hình mạng hoặc server.

Interact With Docker in Browser

Bài viết hướng dẫn tạo terminal tương tác trên trình duyệt cho Docker bằng Node.js và Docker, sử dụng Express kết hợp Socket.IO để điều khiển container theo thời gian thực. Người dùng có thể thực hành lệnh Docker trực tiếp trong môi trường ảo.

Lập trình viên nên đọc bài này để khám phá cách xây dựng một môi trường thực hành trực tiếp trong trình duyệt cho Docker, giúp tối ưu hóa việc học và thử nghiệm các lệnh container mà không cần thiết lập môi trường cục bộ phức tạp.

Node.js — Node.js 26.4.0 (Current)

Node.js 26.4.0 bổ sung nhiều tính năng mới như node:vfs (hỗ trợ mount VFS), buffer tùy chỉnh cho readFile(), package maps trong module loader, nén chứng chỉ TLS, điều khiển TCP keepalive (TCP_KEEPINTVL/TCP_KEEPCNT) cùng cải tiến xử lý kết nối HTTP. Bản phát hành cũng sửa nhiều lỗi trong streams, crypto, QUIC, SQLite, debugger và bộ theo dõi file, đồng thời cập nhật dependencies (npm 11.17.0, libffi 3.6.0, SQLite 3.53.2, ngtcp2 1.23.0) và tối ưu hiệu suất cho buffers, streams.

Lập trình viên nên đọc bài này để cập nhật về các cải tiến mới trong Node.js 26.4.0, đặc biệt là các tính năng như VFS (Virtual File System) tích hợp, tối ưu hóa TCP keepalive và như và , giúp nâng cao hiệu suất và độ ổn định cho các ứng dụng Node.js hiện đại.

Choose your fighter: benchmarking 5 WebSocket servers for Node.js—Martian Chronicles, Evil Martians’ team blog

A deep dive into benchmarking five Node.js WebSocket servers: default Socket.io, Socket.io with Connection State Recovery, uWebSockets.js, AnyCable OSS, and AnyCable Pro. The post documents two major measurement traps: a saturated single-process load generator that inflated AnyCable's p99 latency from 11ms to 234ms, and a real throughput gap between AnyCable and uWS that turned out to be genuine. Key methodology lessons include running the load generator co-located with servers, sharding clients across multiple processes to avoid event loop saturation, equalizing reconnect backoff windows across libraries, and always validating surprising results with a second independent measurement. Final results show all five servers within a few milliseconds at 10K subscribers, but AnyCable leads on 100% message delivery under network drops, deploy-time reconnect storms, and broadcast throughput at scale, while uWS is lightest per connection and Socket.io caps around 120K connections per node.

Deploy Node servers with zero configuration

Vercel giờ đây hỗ trợ triển khai máy chủ Node.js không cần cấu hình, tự động phát hiện file server.ts ở thư mục gốc hoặc src/server.ts và triển khai dưới dạng ứng dụng Node.js. Tính năng này hoạt động song song với các backend zero-config khác như Express, Koa và NestJS, đồng thời Vercel CLI quản lý phát triển cục bộ (vc dev) và triển khai (vc deploy) mà không cần file cấu hình.

Lập trình viên Node.js sẽ tiết kiệm thời gian và tránh rắc rối khi phát triển, test và triển khai ứng dụng backend mà không cần thiết lập cấu hình thủ công.

Node.js — Node.js 22.23.1 (LTS)

Node.js 22.23.1 (LTS), codenamed 'Jod', is a patch release that fixes an unexpected behavior introduced by the previous security release (22.23.0). It includes two commits: a build fix switching coverage-windows to windows-2022, and an HTTP fix to avoid stream listeners on idle agent sockets.