#nodejs

Node.js — Node.js 26.6.0 (Current)

Node.js là môi trường runtime JavaScript miễn phí, mã nguồn mở, đa nền tảng, cho phép nhà …

Node.js — Check out the New Node.js API Documentation Preview

Node.js là môi trường runtime JavaScript miễn phí, mã nguồn mở, đa nền tảng, cho phép lập trình viên tạo máy chủ, ứng dụng web, công cụ dòng lệnh và script.

Là người phát triển Node.js, bạn nên đọc để cập nhật về các tính năng mới nhất trong API tài liệu, giúp tối ưu hiệu suất, bảo mật và mở rộng khả năng xây dựng ứng dụng JavaScript một cách hiệu quả hơn.

Node.js — Node.js 24.18.1 (LTS)

Node.js là môi trường runtime JavaScript miễn phí, mã nguồn mở, đa nền tảng, cho phép nhà phát triển xây dựng server, ứng dụng web, công cụ dòng lệnh và script.

Là người phát triển Node.js, bạn nên đọc bài này để cập nhật phiên bản mới nhất LTS (Long-Term Support) 24.18.1, giúp tối ưu hiệu suất ứng dụng hiện tại và chuẩn bị sẵn sàng cho các tính năng cải tiến mới trong tương lai.

No, We Can't Harden Node.js Against Prototype Pollution

Lỗ hổng prototype pollution không phải lỗi của Node.js hay thư viện, mà phụ thuộc vào cách ứng dụng ngăn chặn các lỗ hổng bảo mật.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ Node.js khỏi nguy cơ prototype pollution—một lỗ hổng thường bị bỏ qua mà có thể phá hủy tính bảo mật và tính ổn định của ứng dụng.

Node.js — Node.js 26.5.0 (Current)

Node.js 26.5.0 bổ sung các tính năng mới như blob.textStream() trên buffer API, cờ --experimental-import-text cho ESM, cải tiến giám sát độ trễ vòng lặp sự kiện trong perf_hooks, và hỗ trợ báo cáo nhóm TLS. Bản phát hành cũng khắc phục nhiều lỗi trong HTTP, crypto, streams, VFS cùng cập nhật dependencies quan trọng.

Lập trình viên Node.js nên đọc bài này để cập nhật về các tính năng mới như blob.textStream() và --experimental-import-text cho ESM, cũng như cải tiến về hiệu suất, an toàn TLS và bug fix trong các module quan trọng như HTTP, crypto và streams, giúp nâng cao hiệu năng và bảo mật ứng dụng của họ.

How to Log GDPR Consent in Node.js (And Why Your Cookie Banner Isn’t Proof)

Để tuân thủ GDPR, chỉ hiển thị banner cookie "Accept" không đủ; bạn cần ghi lại (log) sự đồng thuận của người dùng. Node.js cung cấp cách thức lưu trữ bằng chứng pháp lý này.

Lập trình viên cần đọc bài này để hiểu cách chính xác ghi nhận sự đồng ý GDPR trong Node.js, tránh rủi ro vi phạm quy định pháp lý khi cookie banner đơn giản chỉ là giao diện thay vì chứng minh sự tuân thủ.

Node.js — Node.js 26.5.1 (Current)

Node.js là môi trường runtime JavaScript miễn phí, mã nguồn mở, đa nền tảng, cho phép nhà phát triển xây dựng server, ứng dụng web, công cụ dòng lệnh và script.

Lập trình viên Node.js sẽ tìm hiểu về phiên bản mới nhất (26.5.1) để cập nhật kiến thức về tính năng cải tiến, bảo mật và hiệu suất, giúp tối ưu hóa dự án hiện tại và chuẩn bị cho tương lai với công nghệ này.

Build Bulletproof APIs using TypeScript in Express

Bài viết giới thiệu cách xây dựng API an toàn bằng TypeScript trong Express.js, giúp loại bỏ việc đoán kiểu dữ liệu hay lỗi runtime bằng việc tận dụng type safety.

Lập trình viên Express.js sẽ tiết kiệm thời gian debug và tăng hiệu suất mã nhờ TypeScript giúp xác định lỗi biên dịch ngay từ giai đoạn phát triển, thay vì phải chờ lỗi xảy ra ở runtime.

Slint and the Node.js Event Loop

Slint 1.17 khắc phục tình trạng lãng phí CPU và độ trễ đầu vào bằng cách thay thế cơ chế polling 16ms bằng cách tích hợp hook libuv prepare và theo dõi file descriptor I/O, giúp đồng bộ hai vòng lặp sự kiện (Node.js libuv và Slint winit) trên cùng một thread. Giải pháp này hiệu quả trên Linux/macOS, nhưng Windows vẫn giữ polling 16ms do hạn chế API, còn Deno/Bun chưa hỗ trợ hook tương ứng.

Nếu bạn làm việc với ứng dụng cross-platform sử dụng Node.js và UI tích hợp, bài viết này giúp bạn hiểu cách tối ưu hóa hiệu suất của hệ thống bằng cách khắc phục lỗi CPU idle và lag nhập liệu trong Slint, đặc biệt quan trọng khi phát triển ứng dụng trên Linux/macOS.

Issue #636: Node.js 26.7, vlt 1.0, and Shai-Hulud Returns — Node Weekly

Bản tin Node Weekly số 636 giới thiệu Node.js 26.7, phiên bản 1.0 của công cụ vlt, cùng những cập nhật mới về dự án Shai-Hulud.

Lập trình viên Node.js nên đọc bài này để cập nhật về phiên bản mới nhất của Node.js (26.7), công cụ vlt (1.0) và dự án Shai-Hulud, giúp tối ưu hóa hiệu suất, bảo mật và phát triển ứng dụng với các công cụ hiện đại mới nhất.

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng CVE-2026-48931 (vấn đề poisoning hàng đợi response HTTP/1.1 trong http.Agent) không đáng được xếp vào danh mục CVE vì đây là đặc tính vốn có của giao thức HTTP/1.1, không phải lỗi riêng của Node.js. Bản vá ban đầu gây lỗi giả (ERR_STREAM_PREMATURE_CLOSE) do listener 'data' công khai, ảnh hưởng tới nhiều dự án như Google API, Firebase CLI, Backstage. Sau đó, lỗi được khắc phục bằng cách thay thế bằng hook nội bộ onread. Ông cũng cảnh báo về tình trạng báo cáo bảo mật do AI tạo tràn lan, dẫn đến phân loại sai CVEs.

Bạn nên đọc bài này để hiểu cách phân biệt giữa các lỗ hổng thực sự là Node.js hay là cơ chế HTTP/1.1 chung, tránh rơi vào tình trạng đánh nhầm các cải thiện kỹ thuật thành CVE khi chúng không ảnh hưởng riêng biệt đến dự án của mình.

GraalJS 25.1: Modern JavaScript on GraalVM

GraalJS 25.1, phiên bản JavaScript nhúng hiệu năng cao trên GraalVM, vừa ra mắt với hỗ trợ đầy đủ các tính năng ECMAScript mới nhất.

Lập trình viên nên đọc bài này để khám phá cách GraalVM nâng cao hiệu suất và tính tương thích với các tiêu chuẩn ECMAScript mới nhất, giúp tối ưu hóa ứng dụng JavaScript của họ với hiệu năng cao hơn và hỗ trợ tương lai.

Node.js — Node.js 26.4.0 (Current)

Node.js 26.4.0 bổ sung nhiều tính năng mới như node:vfs (hỗ trợ mount VFS), buffer tùy chỉnh cho readFile(), package maps trong module loader, nén chứng chỉ TLS, điều khiển TCP keepalive (TCP_KEEPINTVL/TCP_KEEPCNT) cùng cải tiến xử lý kết nối HTTP. Bản phát hành cũng sửa nhiều lỗi trong streams, crypto, QUIC, SQLite, debugger và bộ theo dõi file, đồng thời cập nhật dependencies (npm 11.17.0, libffi 3.6.0, SQLite 3.53.2, ngtcp2 1.23.0) và tối ưu hiệu suất cho buffers, streams.

Lập trình viên nên đọc bài này để cập nhật về các cải tiến mới trong Node.js 26.4.0, đặc biệt là các tính năng như VFS (Virtual File System) tích hợp, tối ưu hóa TCP keepalive và như và , giúp nâng cao hiệu suất và độ ổn định cho các ứng dụng Node.js hiện đại.

CQRS Without the Astronaut Architecture

Bài viết hướng dẫn triển khai CQRS trong Node.js/TypeScript theo cách đơn giản, không cần cơ sở hạ tầng phức tạp như event sourcing hay message queues. CQRS ở đây chỉ là cách tổ chức code tách biệt logic ghi (commands) và đọc (queries), với ví dụ TypeScript cụ thể về rich write side và lean read side. Tác giả khuyên nên bắt đầu từ phân tách code đơn giản rồi nâng cấp dần khi cần thiết.

Lập trình viên nên đọc bài này để hiểu cách áp dụng CQRS một cách đơn giản và hiệu quả trong Node.js/TypeScript mà không cần phụ thuộc vào kiến trúc phức tạp, từ đó tối ưu hóa quy trình phát triển và bảo trì ứng dụng của mình.

Wait Longer

Một nhà phát triển phát hiện lỗi ngắt quãng trong các bài kiểm tra specification TypeScript/Node.js, xảy ra 3-4 lần trên 1000 lần chạy. Sau khi gỡ lỗi, cô nhận ra setTimeout của Node.js có thể kích hoạt trước thời gian delay quy định, khác với JavaScript trên trình duyệt vốn đảm bảo thời gian chờ tối thiểu. Giải pháp là thay thế hàm chờ dựa trên setTimeout bằng vòng lặp polling kiểm tra performance.now() mỗi millisecond để đảm bảo thời gian trôi qua đủ.

Lập trình viên cần đọc bài này vì nó giải thích cách Node.js xử lý setTimeout khác với JavaScript trong trình duyệt, khiến các delay không chính xác dẫn đến lỗi kiểm tra không đáng có.

Electron 43

Electron 43 vừa ra mắt với Chromium 150.0.7871.46, Node.js v24.17.0 và V8 15.0, cải thiện hiệu suất khởi động ứng dụng nhờ snapshot và bytecode caching, hỗ trợ cửa sổ không viền có góc bo tròn trên Linux, API quản lý thông báo mới trên macOS, và tải xuống mặc định vào thư mục Downloads. Phiên bản này cũng đánh dấu chấm dứt hỗ trợ binary 32-bit (Windows x86, Linux ARM) và có một số thay đổi phá vỡ (breaking changes) như chuẩn hóa pixel nativeImage sang SRGB.

Lập trình viên cần đọc bài này để cập nhật kiến thức về các cải tiến hiệu suất khởi động ứng dụng và tính năng mới như cửa sổ không khung trên Linux, quản lý thông báo macOS, và các thay đổi quan trọng về API như loại bỏ showHiddenFiles trên Linux để tránh rủi ro về tính bảo mật và tương thích.

Node.js — Node.js 26.7.0 (Current)

Node.js là môi trường runtime JavaScript miễn phí, mã nguồn mở, đa nền tảng, giúp nhà phát triển xây dựng máy chủ, ứng dụng web, công cụ dòng lệnh và script.

Là người phát triển Node.js, bạn nên đọc bài này để cập nhật về phiên bản mới nhất (26.7.0) và các tính năng cải tiến, bảo mật, hoặc thay đổi quan trọng giúp tối ưu hóa hiệu suất, bảo trì mã và tránh các lỗi mới trong ứng dụng của mình.

Node.js — Monday, July 27, 2026 Security Releases

Node.js là môi trường runtime JavaScript miễn phí, mã nguồn mở, đa nền tảng, cho phép lập trình viên xây dựng server, ứng dụng web, công cụ dòng lệnh và scripts.

Lập trình viên nên đọc bài này để cập nhật về các bản vá an toàn cho Node.js 2026, giúp bảo vệ ứng dụng hiện tại khỏi các lỗ hổng mới có thể dẫn đến tấn công xâm nhập hoặc gián điệp.

Node.js — Node.js 22.23.1 (LTS)

Node.js 22.23.1 (LTS) là bản vá lỗi sửa hành vi bất ngờ từ bản phát hành bảo mật trước (22.23.0), bao gồm hai thay đổi: sửa lỗi build (chuyển coverage-windows sang windows-2022) và khắc phục lỗi HTTP tránh nghe stream trên socket agent không hoạt động.

Lập trình viên nên đọc để cập nhật kiến thức về bản vá lỗi an ninh và hiệu năng mới trong phiên bản Node.js LTS 22.23.1, giúp bảo vệ ứng dụng của bạn khỏi các vấn đề bảo mật và tối ưu hóa hiệu suất khi sử dụng trong sản xuất.

Node.js — Node.js 24.18.0 (LTS)

Node.js 24.18.0 LTS (tên mã 'Krypton') bổ sung nhiều cải tiến quan trọng như cập nhật chứng chỉ gốc lên NSS 3.123.1, tối ưu hóa socket HTTP idle, tăng kích thước mặc định Buffer.poolSize lên 64 KiB, bổ sung thuật toán TurboSHAKE, KangarooTwelve cho Web Cryptography, hỗ trợ mã trạng thái HTTP 1xx tùy ý, và cải thiện bảo mật crypto (chống tấn công prototype pollution, tương thích BoringSSL, hỗ trợ ML-DSA/ML-KEM JWK). Ngoài ra, phiên bản này nâng cấp npm lên 11.16.0, SQLite lên 3.53.1 cùng nhiều sửa lỗi khác.

Lập trình viên nên đọc bài này vì phiên bản Node.js mới 24.18.0 LTS mang đến những cải tiến an toàn và hiệu năng quan trọng như hỗ trợ mã hóa WebCrypto mới, nâng cấp bảo mật và cải thiện trải nghiệm phát triển với các tính năng như kiểm soát chính xác độ phủ code và tối ưu hóa stream.

qs-fast: a drop-in faster qs (2.3× parse, 3.8× stringify, identical output)

qs-fast là phiên bản tối ưu hóa của thư viện qs, cung cấp tốc độ parse nhanh gấp 2,3 lần và stringify nhanh gấp 3,8 lần so với bản gốc, đồng thời duy trì đầu ra giống hệt nhau. Thư viện này tương thích hoàn toàn (drop-in replacement) với qs, vốn là công cụ phân tích chuỗi truy vấn (query-string) quan trọng trong Express.js và nhiều hệ thống xử lý HTTP khác.

Lập trình viên cần đọc bài này để tìm hiểu cách tối ưu hóa hiệu suất xử lý chuỗi truy vấn HTTP bằng một giải pháp thay thế nhanh gọn hơn, giúp giảm thời gian xử lý lên đến 3,8 lần khi chuyển đổi chuỗi, đặc biệt quan trọng trong ứng dụng có lưu lượng truy vấn cao.

Friday Links #42: The Best JavaScript News This Week

Bài viết tổng hợp những tin tức quan trọng nhất về JavaScript trong tuần: các bản phát hành mới, công cụ AI, dự án mã nguồn mở, cập nhật trình duyệt và tin tức dành cho nhà phát triển.

Nếu bạn đang tìm cách nâng cao kiến thức JavaScript hiện đại và mở rộng kỹ năng trong môi trường phát triển đa dạng, Friday Links sẽ đưa bạn đến những thông tin mới nhất về công cụ AI, dự án open-source và cập nhật từ các nền tảng web, giúp bạn tiếp cận xu hướng và giải quyết vấn đề hiệu quả hơn.

Node.js — Node.js 22.23.0 (LTS)

Node.js 22.23.0 (LTS) là bản cập nhật bảo mật chỉ tập trung vào dòng LTS 'Jod', vá 11 lỗ hổng CVE, bao gồm các lỗi nghiêm trọng về chuẩn hóa hostname TLS, bảo vệ độ dài cipher WebCrypto, tăng trưởng bộ nhớ không giới hạn HTTP/2, tiêm NUL byte vào DNS/net hostname, rò rỉ credential proxy, và poisoning hàng đợi HTTP. Các dependency như nghttp2, OpenSSL, llhttp, undici cũng được nâng cấp.

Lập trình viên Node.js nên đọc bài này để cập nhật các bản vá an toàn mới nhất, đặc biệt là các lỗ hổng TLS và WebCrypto có thể ảnh hưởng đến tính bảo mật của ứng dụng web của bạn.

Authorized Logger

Một nhà phát triển tên Gretchen gia nhập dự án Node.js cũ kỹ sau khi bị mua lại và phát hiện hàng loạt lỗi nghiêm trọng: logging bị hỏng chỉ in ra "DEBUG", lỗ hổng SQL injection từ truy vấn thô, thiếu middleware phân quyền trên hầu hết endpoints (kể cả API admin), codebase dừng ở Node.js 14, và dữ liệu request được đưa trực tiếp vào database mà không qua bất kỳ validation nào.

Lập trình viên nên đọc bài này để tránh rơi vào những sai lầm an toàn và thiết kế không hiệu quả trong dự án Node.js, từ đó học cách cải thiện bảo mật, quản lý lỗi và tối ưu hóa hệ thống ngay từ giai đoạn đầu.

I launched Local Hoster

Tôi đã ra mắt Local Hoster, một công cụ CLI Node.js nhỏ giúp các dự án phát triển cục bộ có các URL .localhost ổn định kèm HTTPS thông qua Caddy.

Là người phát triển Node.js, bạn nên đọc bài này để khám phá cách tối ưu hóa quản lý URL HTTPS trên localhost với Caddy, giúp tiết kiệm thời gian và tránh rủi ro khi xử lý chứng chỉ SSL thủ công.

Stop Calling Node.js “Single-Threaded”: A Look Under the Hood

Node.js không hoàn toàn đơn luồng như mọi người nghĩ nhờ cơ chế xử lý bất đồng bộ mạnh mẽ từ libuv, Min-Heaps và Microtasks.

Là lập trình viên Node.js muốn tối ưu hiệu năng và hiểu rõ cơ chế thực hiện thực tế của nền tảng này, bài viết giải thích chi tiết cách Node.js xử lý đa luồng nhờ libuv và microtask, giúp bạn tránh sai lầm về tính đơn luồng và áp dụng kiến thức đúng đắn trong dự án.

Issue #635: npm to scan packages for malware at publish time — Node Weekly

npm sắp bổ sung tính năng quét malware tự động cho các package ngay khi publish.

Lập trình viên nên đọc bài này để hiểu cách npm đã nâng cấp an toàn cho dự án của mình bằng cách kiểm tra các gói npm trước khi công bố, giảm thiểu rủi ro từ các phần mềm độc hại trong môi trường phát triển.

GitHub - vercel-labs/scriptc: TypeScript-to-Native Compiler

Công cụ biên dịch TypeScript-to-Native Compiler (scriptc) của Vercel Labs chuyển đổi TypeScript sang mã gốc. Dự án mã nguồn mở trên GitHub cho phép đóng góp từ cộng đồng.

Lập trình viên TypeScript muốn tối ưu hiệu suất ứng dụng native mà không cần biên dịch thủ công lại phải biết về công cụ này để chuyển đổi code TypeScript thành mã C/C++/Rust một cách hiệu quả.

nvm loses your global CLIs every time you switch. So I fixed it.

nvm sẽ xóa mất các CLI toàn cục đã cài đặt mỗi khi bạn chuyển đổi phiên bản Node.js. Tác giả đã khắc phục vấn đề này bằng cách tạo ra một giải pháp thay thế.

Lập trình viên nên đọc bài này để tìm cách tránh mất các lệnh CLI toàn cầu quan trọng khi đổi phiên bản Node.js với NVM mà không phải mất công thiết lập lại mỗi lần.

Express.js is “Slow” and “Outdated” — So Why is Everyone Still Using It?

Express.js bị đánh giá là "chậm" và "lỗi thời", nhưng vẫn được sử dụng rộng rãi nhờ sự đơn giản, linh hoạt và hệ sinh thái phong phú.

Là người phát triển cần hiểu cách Express.js vẫn được sử dụng rộng rãi dù có những hạn chế về hiệu suất và tính hiện đại để đánh giá đúng giá trị của nó trong dự án hiện tại và tương lai.

How to Build a Multi-Tenant SaaS API with Node.js, RBAC, and Audit Logging

Sau khi kiểm tra, phát hiện lỗi truy vấn SQL trả về dữ liệu không đúng phân quyền do thiếu điều kiện lọc tenant_id. Cần bổ sung RBAC (Role-Based Access Control) và audit logging để ngăn chặn truy cập trái phép trong SaaS API Node.js.

Lập trình viên cần đọc bài này để hiểu cách triển khai một API SaaS đa-tenant hiệu quả, từ cơ sở dữ liệu phân chia quyền riêng biệt đến cơ chế RBAC và ghi log hoạt động, giúp tránh các lỗi quyền truy cập không mong muốn như trường hợp bạn gặp.

How to Containerize a Node.js Application with Docker and Deploy with GitHub Actions

Việc container hóa ứng dụng Node.js bằng Docker giúp đảm bảo ứng dụng hoạt động nhất quán trên mọi môi trường. Bài viết hướng dẫn triển khai ứng dụng này tự động thông qua GitHub Actions.

Lập trình viên Node.js nên đọc bài này để tránh những lỗi không mong đợi khi chuyển ứng dụng sang môi trường sản xuất nhờ cách container hóa Docker và tự động hóa deploy qua GitHub Actions.

How to Build Secure-by-Default Node.js APIs

Bài viết hướng dẫn xây dựng các API Node.js HTTP theo tiêu chuẩn bảo mật mặc định mà không cần phụ thuộc thư viện ngoài. Sáu biện pháp bảo vệ cốt lõi bao gồm: giới hạn kích thước body request (đo bằng bytes khi streaming), timeout request sử dụng AbortController, phân tích JSON an toàn chống tấn công prototype pollution, thiết lập tiêu đề bảo mật (CSP, HSTS, v.v.), so sánh secret an toàn bằng crypto.timingSafeEqual, và xác thực đầu vào chặt chẽ ngăn chặn mass-assignment. Ngoài ra còn giải thích CORS đúng cách, xử lý lỗi có cấu trúc với request ID, và nhấn mạnh triết lý "bảo mật mặc định tốt hơn checklist".

Lập trình viên nên đọc bài này để tránh rủi ro bảo mật khi phát triển API Node.js bằng cách áp dụng các quy tắc an toàn mặc định từ cơ sở, từ việc kiểm soát kích thước request đến xử lý mật khẩu an toàn, giúp giảm thiểu lỗ hổng mà không cần phụ thuộc vào thư viện phụ.

Vercel Functions can now be up to 5GB in package size

Vercel Functions giờ đây hỗ trợ triển khai Node.js và Python với kích thước gói lên tới 5GB trên Fluid compute, tăng 20 lần so với giới hạn cũ 250MB. Tính năng này đang trong giai đoạn beta công khai, phục vụ các workload nặng như thư viện AI/dữ liệu Python, dependencies tự động hóa trình duyệt, xử lý hình ảnh/video hoặc các clients lớn. Dự án mới sẽ tự động kích hoạt, còn dự án cũ có thể opt-in qua biến môi trường VERCEL_SUPPORT_LARGE_FUNCTIONS=1.

Lập trình viên cần đọc để khám phá cách mở rộng khả năng triển khai các ứng dụng AI, xử lý dữ liệu lớn hoặc phụ thuộc lớn bằng Node.js/Python mà không bị giới hạn bởi dung lượng gói cài đặt, giúp tối ưu hiệu suất và mở rộng công việc của họ.

Everything but the runtime

Bản tin của một nhà phát triển giới thiệu nub.js, một bộ công cụ Node.js toàn diện mới của Colin McDonnell (tác giả Zod và tRPC), cung cấp công cụ tương tự Bun nhưng không thay thế runtime Node. Ngoài ra, bài viết còn đề cập đến việc Flow chuyển từ OCaml sang Rust, Deno 2.9 với giao diện desktop, Rspack 2.1 hỗ trợ TypeScript 7, các bước song song trong GitHub Actions, Next.js Instant Navigation, và mẹo JavaScript sử dụng Intl.Collator để sắp xếp chuỗi theo ngôn ngữ.

Những công cụ và tiến bộ mới trong Node.js như Nub.js và Deno sẽ giúp tối ưu hóa hiệu suất, quản lý dự án và phát triển nhanh hơn, giúp bạn tiết kiệm thời gian và công sức trong việc xây dựng ứng dụng hiện đại.

CRUD App with Prisma ORM & Node.js

Hướng dẫn chi tiết cách xây dựng ứng dụng CRUD sử dụng Prisma ORM, Node.js và PostgreSQL.

Lập trình viên muốn hiểu cách tối ưu hóa quản lý cơ sở dữ liệu với Prisma ORM và Node.js để xây dựng ứng dụng CRUD hiệu quả, nhanh chóng và bảo mật hơn.

Issue #630: Node.js 26.4 lands package maps — Node Weekly

Node.js 26.4 bổ sung hỗ trợ thử nghiệm package maps (giải quyết package từ file JSON tĩnh thay vì duyệt node_modules) và bắt đầu giới thiệu subsystem node:vfs của Matteo Collina. Bản tin cũng đề cập đến phân tích về hạn chế bảo mật của npm v12 khi chặn script cài đặt mặc định, bài viết suy đoán về npm chạy trên AT Protocol, TypeScript 7.0 RC với compiler Go nhanh gấp 10 lần, và framework Eve của Vercel cho xây dựng AI agent theo cấu trúc Next.js.

Lập trình viên nên đọc để cập nhật về Node.js 26.4, đặc biệt là tính năng mới về package maps (tối ưu hóa giải quyết phụ thuộc từ JSON thay vì khám phá node_modules) và vfs subsystem của Matteo Collina, giúp cải thiện hiệu suất và quản lý dự án.

Your AI shipped a backend that boots. That is the whole problem.

AI sinh ra code backend thường vượt qua test nhưng lại chứa lỗ hổng bảo mật nghiêm trọng như kích thước body không giới hạn, CORS wildcard cho phép credentials, fetch dễ bị SSRF, và thiếu xác thực. Giải pháp là đảo ngược các tùy chọn mặc định để lựa chọn an toàn trở nên dễ dàng hơn. DaloyJS (framework TypeScript của tác giả) thể hiện các mẫu secure-by-default như giới hạn body cứng, fetch chống SSRF, từ chối chạy wildcard CORS trong production, và ngăn chặn tấn công JWT algorithm confusion. Họ cũng giảm thiểu rủi ro supply chain bằng cách loại bỏ dependencies runtime, sử dụng npm provenance, SBOMs, và chặn cài đặt package mới trong 24 giờ đầu.

Lập trình viên nên đọc bài này để hiểu cách thiết kế lại các quy tắc an toàn mặc định trong backend, từ những lỗ hổng AI tạo code phổ biến đến giải pháp chuyển đổi các biện pháp bảo mật từ khó sang dễ thực hiện.

Building a Shopping Cart In Nodejs

Bài viết hướng dẫn xây dựng nền tảng thương mại điện tử sử dụng Node.js làm backend, kết hợp ba công nghệ frontend là Angular, React và Vue.js.

Lập trình viên Node.js sẽ tìm hiểu cách xây dựng cơ sở hạ tầng backend cho ứng dụng mua sắm đa frontend (React, Vue, Angular) để áp dụng kiến thức Node.js trong các dự án thực tế và tối ưu hóa kết nối server-client hiệu quả.

Create better emails during development

Công cụ mã nguồn mở của Dan Farrelly cung cấp SMTP Server cùng giao diện web để xem xét và kiểm thử email trong quá trình phát triển.

Lập trình viên nên đọc bài này để tìm hiểu cách xây dựng một giao diện web và server SMTP tích hợp để kiểm tra và phát triển email trực tiếp trong quá trình phát triển ứng dụng, tiết kiệm thời gian và tránh lỗi liên quan đến email.