我的vue项目一直好好的，今天打开时候突然提示让我执行一下npm audit fix命令，啥情况这是，，，

关于npm audit fix的问题

我经常用 [npmtrends](https://npmtrends.com/) 对比不同 npm 包的下载量，进行选型，但下载量不是为唯一的参考，一个包下载量很多可能是历史原因，包体积、依赖关系、是否支持 tree shake、更新频率也是条件之一。最近看到 [bundlephobia](https://bundlephobia.com/) 这个网站，可以看到相关对比。

比如以前常用 [formik](https://formik.org/) + [yup](https://github.com/jquense/yup) 做表单功能，最近也在写表单组件，就想看看有没更好的方案，看到了 [react-hook-form](https://github.com/react-hook-form/react-hook-form)，在 npm trends 上看不出太大差别：

![](https://content.hackertalk.net/pub/o14p8K-0GJOkoJ)

这时就需要看更细节的信息了，尝试对比两种写法的差异，都可以接受，直到我看到 bundlephobia 上的[对比](https://bundlephobia.com/package/react-hook-form@7.34.2)：

![](https://content.hackertalk.net/pub/e3ex6n-zKYKxn0)

formik 已经很久没有更新了，包体积更大，有外部依赖，相比之下 react-hook-form 更加合适，打算用这个新方案。

![](https://content.hackertalk.net/pub/p5oBdP-N7xAgO0)



bundlephobia：另一个 npm 包对比网站

我在本地终端使用npm login一直报错

```bash
npm ERR! code ECONNRESETnpm ERR! 
syscall readnpm ERR! 
errno ECONNRESETnpm ERR! 
network request to https://registry.npmjs.org/-/v1/login failed, 
reason: read ECONNRESETnpm ERR! network This is a problem related to network connectivity.npm ERR! 
network In most cases you are behind a proxy or have bad network settings.npm ERR! 
networknpm ERR! 
network If you are behind a proxy, please make sure that thenpm ERR! 
network 'proxy' config is set properly. See: 'npm help config'npm ERR! 
A complete log of this run can be found in:npm ERR! 
C:\Users\Administrator\AppData\Local\npm-cache_logs\2022-06-22T08_12_26_529Z-debug-0.log
```

于是就一直说我的网络有问题，修改代理什么的。我在网上搜了很久，没有搜到解决方法，但是类似的清理cashe文件，删除.npmrc文件，

```
npm config set proxy null,npm config set https-proxy null
```

这些办法我都试过了，不行

npm login报网络代理问题

在终端输入安装moment包后显示警告要配置生产使用

```bash
--omit=dev
```

请教一下这个问题怎么解决？

npm命令为啥装不了包了？

 :expressionless: 地址：[subtract](https://www.npmjs.com/package/subtract)

![](https://content.hackertalk.net/pub/Wg2mPK-0xKkPgE)

一个无聊的库

![](https://content.hackertalk.net/pub/egmaX8-zO05enN)

软件开发很重要的一个点是：don't repeat yourself，不要重复造轮子，如果社区已有成熟方案，直接使用即可，我个人比较喜欢小巧功能简单的库，不太喜欢大的 UI 库，比如 antd 太重，容易污染全局样式，而 clsx 很小巧，功能单一，自己也可以实现替换。

一个库应该满足以下几个要求才会被采用：

* 代码量小（避免打包体积过大）
* 功能单一（不需要大而全，选小而精）
* 零依赖或者少量依赖（避免二级依赖污染）
* 广泛使用（下载量高而不是 github star 数高）

其次应该尽量使用英文+谷歌搜索，避免中文社区的坑，举个例子，当我想要找一个 API mock 的库，中文搜索 “前端 API mock”，查到的很多都是 mockjs 这个库，英文搜索可以找到 mswjs 这个库，把相关的库找到后在 npmtrends 上面进行对比：

[json-server-vs-miragejs-vs-moxios-vs-msw-vs-wiremock-vs-mockjs](https://www.npmtrends.com/json-server-vs-miragejs-vs-moxios-vs-msw-vs-wiremock-vs-mockjs)

![](https://content.hackertalk.net/pub/Opw0QB-aEng0eJ)

可以看到 mswjs 下载量遥遥领先，代码写个 demo 就可以发现确实很好用，最终采用。

写过一篇文章：[这些常用 npm 包，帮你迅速提高开发效率](https://markdowner.net/article/144100233197219840)，介绍了近 30 个常用的库，可以提高你的开发效率。

大家还用过哪些优质的库可以评论区补充一下～

前端开发如何选择一个合适的库？

> npm.taobao.org 和 registry.npm.taobao.org 域名将于 2022 年 05 月 31 日零时起停止服务。

新的站点：[npmmirror](https://npmmirror.com/)

框架从 Koa 切换到 Egg

![](https://content.hackertalk.net/pub/mq6oDe-z3KPq45)



淘宝 npm 镜像更换域名了，旧的下个月停服

做个小调查，npm yarn和pnpm，大家伙用的哪个包管理工具以及版本呢？

我用的是npm，nvm安装的三个版本：v8.11.2、v12.16.1 和 v14.15.3



npm、yarn、pnpm，兄弟们用哪个包啊

Node Dependencies 是一个 npm 依赖管理插件，可以直接通过侧边栏 UI 进行依赖管理：

![](https://content.hackertalk.net/pub/Jpraam-Zppg53p)

版本升级也可以通过插件解决，除了以来管理还可以用来进行代码分享，查看各个依赖的体积大小等信息：

![](https://content.hackertalk.net/pub/8oDVgM-e0D9yrV)

VSCode 插件：Node Dependencies，可视化管理依赖

最近有研究者发现存在 npm 包通过 chrome 的账号恢复机制窃取用户密码信息：[NPM Package Steals Passwords via Chrome’s Account-Recovery Tool](https://threatpost.com/npm-package-steals-chrome-passwords/168004/)，甚至可以实现命令注入、文件上传、开启摄像头等功能。

npm 托管着超过 150 万个独特的包，每天为全球约 1100 万开发人员提供超过 10 亿次 JavaScript 包请求，免费开放的生态为开发者提供了不少便利，但别有用心的人也能利用此机制实现恶意功能。

此次发现的恶意程序就是 [nodejs_net_server](https://www.npmjs.com/package/nodejs_net_server)，目前该 npm 包已被官方标记上危险信息，同时 github 也删除了相关仓库。

![](https://content.hackertalk.net/pub/ADNnpa-LQm7M85)

> nodejs_net_server：自 2019 年 2 月首次发布以来，已发布 12 个版本，总共下载超过 1,300 次的包。它最后一次更新是在六个月前，由某人使用“chrunlee”的名字创作。根据 ReversingLabs 的说法，chrunlee 似乎也是 GitHub 上的活跃开发人员，该开发人员正在开发 61 个存储库

通过静态分析，研究人员在 `nodejs_net_server` 包的多个版本中发现了 Win32.Infostealer.Heuristics 文件。它的元数据显示该文件的原始名称是“a.exe”并且它位于“lib”文件夹内。研究人员指出，带有类似扩展名的单字母文件名会向威胁猎人发出危险信号。果然，a.exe 原来是一个名为 ChromePass 的实用程序：一种用于恢复存储在 Chrome 网络浏览器中的密码的合法工具。

开源库虽然好用，但采纳时也应该最好相关安全检查，使用一些静态代码分析工具或者人肉阅读源码的方式是非常必要的。

警惕 npm 包下毒，窃取用户隐私信息

团队规模较小，想要轻量的方案（最好部署简单，或者能够直接使用的）

想问下各位 npm 私有仓库都用的什么方案？

 :stuck_out_tongue_winking_eye: 如题，面向 github 开发。。。。。。有时一些功能手写后来发现有更好的库可以实现需求。有没大佬总结一下