npm

Richard Feldman 通过对比不同编程语言网站和游戏的依赖图，指出大部分依赖选择是文化规范而非技术必要性。

pkgxray 是一款零依赖的静态分析工具，在安装前检查 npm 包和 MCP 服务器，提供 SAFE/REVIEW/BLOCK 判定结果，以防止供应链攻击。

讨论了 AI 编程助手安装拼写相似的伪装 npm 包（如 loadash）的问题，并询问在 postinstall 脚本执行前如何阻止这类虚假包。

用户描述了使用Claude Code与Smogon的npm库进行交互，用于Pokemon Champions，拉取实时使用数据并生成报告以分析对局和组队。

background-clouds 是一个轻量级、零依赖的 JavaScript 库，它通过单个 canvas 在网站背后渲染一个动画 low-poly 云团，并支持减少动画和 SPA 生命周期方法。

Kody 是一个基于 Cloudflare Workers 和 MCP 构建的实验性个人助手平台；最近一次更新简化了 agents 的集成设置。

v0 现在可以使用来自你设计系统的完全相同的组件，支持从 GitHub、npm、Storybook、Figma 等导入。已通过 Microsoft Fluent、Shopify Polaris、IBM Carbon、Palantir Blueprint 和 Vercel Geist 测试。

Tw-fade 是一个新的 Tailwind CSS 插件，用于纯 CSS 滚动驱动的边缘淡出效果，无需 JavaScript 即可实现优雅的淡出效果。

Magnitude 是一款完全运行在开放模型上的编程代理，与 Claude Code 相比成本降低 60%，性能丝毫不减。它可通过 npm 作为 CLI 工具使用。

开源加密库的每周下载量增长：哈希库增长4倍（每周4800万），曲线库增长3倍，后量子密码库增长95倍。14个库的新自审计版本发布，带有安全升级。

pi-vcc 是一个开源工具，为 Pi coding agent 提供纯算法化的会话压缩，无需 LLM 调用即可实现 35-99% 的令牌缩减，并通过 vcc_recall 支持无损历史搜索。

mni.ml 机器学习框架达到了 900 个 GitHub Star 和 2000+ 次 npm 下载，开发者感谢社区并暗示了下一个项目。

一位安全研究员详细描述了如何通过伪装成真实开发者的虚假LinkedIn招聘人员发送一个GitHub仓库，该仓库包含一个后门，在执行npm install时触发，从而诱使目标运行恶意代码。

开源 Extend CLI 的 watch Fable，这是一款从终端端到端解析和提取文档的工具。它内置了一个与 Claude Code、Codex 和 Cursor 兼容的 Agent 技能。

Replaysafe 是一个开源的 npm 库，通过对操作进行指纹识别来确保幂等重试，防止 AI 智能体工作流中出现重复的副作用。它集成了 LangGraph、CrewAI 等流行框架。

Cline Kanban 是一个开发者工具，它通过看板抽象工作树，使您能够并行运行AI代理而不会出现合并冲突。它允许创建任务、链接任务以自主执行，以及审查差异。

npm v12 对 npm install 引入了安全相关的破坏性变更，默认禁用脚本、git 依赖和远程 URL 依赖的自动执行。用户可以通过升级到 npm 11.16.0+ 并查看警告信息来提前准备，显式选择信任行为。

由于遭受入侵，mantine-datatable 及其他包的所有者账户被暂停，凸显了 npm 生态系统中的供应链安全风险。

Freddy CLI 是一个开源工具，允许用户通过MCP将可穿戴健康数据连接到AI代理，支持Oura、Polar、Garmin等设备。

数十个Red Hat软件包通过该公司官方NPM渠道被植入后门，攻击者利用Shai-Hulud蠕虫通过GitHub Actions OIDC入侵了Red Hat的CI/CD管道。Red Hat已移除恶意软件包，并声明它们仅用于内部，但此次攻击凸显了日益升级的供应链风险。