pnpm 10.25

pnpm 10.25 改进了证书处理，添加了裸 pnpm init，并修复了一些影响用户体验的问题。

我们如何保护新闻编辑部免受npm供应链攻击

我们很幸运地遇到了 Shai-Hulud 2.0。

2025 年 11 月，一个自我复制的 npm 蠕虫感染了 796 个软件包，每月下载量达 1.32 亿次。该攻击利用预安装脚本窃取凭据、安装持久后门，并在某些情况下清除整个开发人员环境。我们没有受到影响——不是因为我们有强大的防御措施，而是因为在攻击期间我们没有运行 npm install 或 npm update。

运气不是安全策略。

pnpm 10.24

pnpm 现在可以在高核心机器上自动扩展网络并发性，并发布了多项可靠性修复。

pnpm 10.23

为 pnpm list 添加了 --lockfile-only 选项，并对 pnpm self-update 进行了各种改进。

pnpm 10.22

增加了对从信任策略中排除软件包以及在发布时覆盖 engines 字段的支持。

pnpm 10.21

增加了为依赖项安装 Node.js 运行时的支持，以及配置信任策略的设置。

pnpm 10.20

此版本为 pnpm help 命令添加了 --all 标志，用于打印所有命令。

pnpm 10.19

这个版本为两个设置添加了版本控制功能：[[only BuiltDependencies] 和 [minimumReleaseAgeExclude`]。

pnpm 10.18

次要更改#

通过对慢速网络请求（包括元数据提取和 tarball 下载）发出警告，为 pnpm 添加了网络性能监控。

添加了警告阈值的配置选项：fetchWarnTimeoutMs 和 fetchMinSpeedKiBps 。当请求超过时间阈值或低于最低速度时，会显示警告消息

相关 PR：#10025。

补丁更改#

• 在出现 EAGAIN 错误时重试文件系统操作 #9959。
• 过时的命令遵守 minimumReleaseAge 配置 #10030。
• 移除依赖的软件包时，正确使用 cleanupUnusedCatalogs 配置。
• 当 scriptShell 设置为 false 时，不要因无意义的错误而失败 #8748。
• pnpm dlx 不应在设置 minimumReleaseAge #10037 时失败。

pnpm 10.17

次要更改#

minimumReleaseAgeExclude 设置现在支持模式。