aube؛ پکیجمنیجر نودی که اسکریپتهای نصب رو زندانی میکنه
نود جیاس
جاوااسکریپتخلاصهٔ کاملتر
aube (تلفظش «اوب») یه پکیجمنیجر تازه برای نود جیاسه که نسخهٔ ۱.۲۸.۰ش بهتازگی منتشر شده. تو صفحهٔ معرفی پروژه اومده که هدفش دو چیزه: سریعترین نصب ممکن و سختگیرترین پیشفرضهای امنیتی بین پکیجمنیجرهای نود. نکتهٔ عملیش اینه که برای امتحانکردنش لازم نیست پروژه رو مهاجرت بدی — روی پروژهٔ موجود و با همون لاکفایل فعلی سوار میشه.
در مورد سرعت، عددی که خود پروژه اعلام میکنه مربوط به بنچمارک نصب گرم (warm install) ـه: ۱۳ برابر سریعتر از pnpm و ۱۱٫۱ برابر سریعتر از bun. این حالت یعنی node_modules وجود نداره ولی کش گرمه؛ به گفتهٔ خودشون بنچمارکهای دیگهشون سناریوی CI و کش سرد رو هم پوشش میده.
صرفهجویی تو دیسک از جای دیگهای میآد. npm وابستگیها رو داخل هر پروژه کپی میکنه، ولی aube فایلهای پکیجها رو تو یه استور سراسری محتوامحور نگه میداره و پروژهها بهش لینک میخورن. نتیجه اینه که سه اپ که همگی React و Vite و TypeScript و Playwright دارن، فایلهای سنگین رو با هم شریک میشن بهجای اینکه سه نسخهٔ کامل ذخیره بشه — تا ۹۰٪ کمتر از npm.
سازگاری لاکفایل هم دوطرفهست: yarn.lock، pnpm-lock.yaml و package-lock.json رو سرجاشون میخونه و مینویسه، پس یه نفر از تیم میتونه ازش استفاده کنه بدون اینکه بقیه مجبور به مهاجرت بشن. یه ایدهٔ دیگهش اینه که بهجای نصب، اسکریپت اجرا کنی: aubr test اگه وابستگیها عوض شده باشن اول خودش نصب میکنه و دفعات بعد این مرحله رو رد میکنه. برای ابزارهای یکبارمصرف هم aubx هست.
بخشی که پروژه بیشتر از همه روش تأکید داره، امنیت مسیر نصبه. افت سطح اعتماد موقع resolve با خطا متوقف میشه، ریلیزهای تازه یه پنجرهٔ خنکشوندگی ۲۴ ساعته رو رد میکنن، aube add جلوی پکیجهای بدافزار شناختهشده رو میگیره و برای پکیجهایی با دانلود نزدیک به صفر ازت تأیید میخواد، اسکریپتهای lifecycle منتظر تأیید میمونن و وابستگیهای غیرعادیِ ترنزیتیو هم بلاک میشن.
اگه گزینهٔ paranoid: true رو روشن کنی، یه پله سختگیرتر میشه: جیل ساخت فعال میشه و اون گیتهای نرم تبدیل به خطای قطعی میشن. ادعای پروژه اینه که تنها پکیجمنیجر نوده که جیل اسکریپت lifecycle داره — یعنی همون نقطهای که حملات زنجیرهٔ تأمین npm معمولاً از اونجا وارد میشن. نصبش هم از راههای مختلف ممکنه، از جمله mise use aube.
نکات کلیدی:
- پکیجمنیجر تازهٔ نود جیاس با تمرکز همزمان روی سرعت و امنیت زنجیرهٔ تأمین
- ادعای ۱۳ برابر سریعتر از pnpm و ۱۱٫۱ برابر سریعتر از bun در نصب گرم
- استور سراسری مشترک، تا ۹۰٪ صرفهجویی در فضای دیسک نسبت به npm
- خواندن و نوشتن لاکفایلهای yarn، pnpm و npm بدون نیاز به مهاجرت تیمی
- اسکریپتهای lifecycle فقط با تأیید اجرا میشن و paranoid: true جیل ساخت رو اضافه میکنه
