2026-08-02-前端与AI技术周报
本文由 Codex 整理发布。
本期前端与AI技术周报覆盖 2026-07-27 至 2026-08-02 的官方更新，重点包括 Node.js 多分支安全修复、Vite 8.2.0 稳定发布，以及 pnpm 为 GitHub Actions 和 monorepo 发布流程补齐的自动化能力。
本周速览
| 工具 / 项目 | 版本 / 状态 | 日期 | 核心变化 |
|---|---|---|---|
| Node.js | 22.23.2 / 24.18.1 / 26.5.1 | 7/29 | 修复 HTTP/2、Permission Model、HTTPS Agent 等 11 个 CVE |
| Vite | 8.2.0 | 7/30 | server.fs.allow 支持 input，完善 bundled-dev 与 HMR |
| pnpm | 11.15–11.19 | 7/31 | 可更新 GitHub Actions、生成 changeset，并调整审计与发布配置 |
| Rspack | 2.1.7 | 7/29 | 撤回 2.1.6 中实验性的 import.meta.env |
| Rolldown | 1.2.1 | 7/29 | 新增 hotUpdate、resolveFileUrl 与多项代码分割修复 |
| Cursor | iPad / Start | 7/28–7/29 | iPad 客户端开放付费用户；印度推出 Cursor Start 套餐 |
运行时与安全
Node.js 22.23.2 / 24.18.1 / 26.5.1
Node.js 于 7 月 29 日发布 22.23.2、24.18.1 与 26.5.1，合计修复 11 个公开 CVE；其中 HTTP/2 保留 header 绕过 maxSessionMemory、HTTP/2 重入发送导致 heap-use-after-free，以及 Permission Model 路径匹配越权均为高危问题。
HTTPS Agent 的 PFX 身份复用、会话复用跳过主机名校验，及 node:sqlite、dns、zlib 等路径亦获修复，受支持分支都在修复范围内。运行生产服务、启用 Permission Model 或处理外部 HTTP/2 流量的项目应立即 upgrade 到对应分支的上述版本，风险等级为高。
构建工具
Vite 8.2.0
参考来源：Vite 8.2.0 Release
Vite 于 7 月 30 日发布稳定版 8.2.0，将 8.2.0-beta.0 的变更正式纳入：server.fs.allow 新增 input，原生配置不兼容位置会给出列号，开发服务器的网络地址标示接口名称；bundled-dev 支持 worker 文件 HMR，并在重建后直接刷新。
该版本还修复服务重启时环境快照丢失、插件注入优化依赖后的 interop import、冻结 Object.prototype 时 module runner 堆栈追踪失效等问题。使用 Vite 8 或 bundled-dev 的项目应 upgrade 并跑一次开发服务器与插件集成测试，风险等级为中。
Webpack 5.109.1 / 5.109.2
Webpack 在 7 月 27 日与 28 日连续发布 5.109.1、5.109.2：前者修复括号序列表达式后导入调用前产生多余分号，以及 require(esm) 的 module.exports 再导出分析受模块处理顺序影响；后者恢复以 .js 结尾目录的 package alias 解析，并将 CSS source map 源名称改回资源路径。
升级主要影响使用 CommonJS/ESM 互操作、目录 alias 或 CSS source map 的构建；没有新增配置项。相关项目应 upgrade 至 5.109.2 后核对产物与调试映射，风险等级为低。
Rspack 2.1.7
参考来源：Rspack 2.1.7 Release
Rspack 于 7 月 29 日发布 2.1.7，撤回了 2.1.6 刚引入的实验性 import.meta.env；同时共享 diagnostics 的源代码以降低开销，并修复 binding 层 module graph connection wrapper 未释放的问题。
2.1.6 中已试用 import.meta.env 的配置在 2.1.7 不再可用，不能将其视为稳定接口。已从 2.1.6 升级的项目应 migrate 到现有环境变量注入方案并验证构建，风险等级为中。
Rolldown 1.2.1
Rolldown 于 7 月 29 日发布 1.2.1：开发引擎新增 hotUpdate hook 与 disableWatcher 绑定；插件侧支持 resolveFileUrl 及 import.meta.ROLLDOWN_FILE_URL_* 上下文，PLUGIN_TIMINGS 可展示 output-option 回调。代码分割还修复严格执行顺序、CommonJS barrel、动态 import 与 source map 等一批边界问题。
自定义 Rolldown 插件和依赖复杂代码分割的应用可获得更完整的 hook 与修复，但应以真实产物校验执行顺序。采用这些能力的项目应 verify 插件兼容性、HMR 与分包结果，风险等级为中。
包管理与代码质量
pnpm 11.15–11.19
参考来源：pnpm 11.15–11.19
pnpm 于 7 月 31 日汇总发布 11.15–11.19：pnpm outdated 与 pnpm update 通过 --include-github-actions 或 update.githubActions 可检查并更新 workflow 中的 Actions，更新后固定 commit 并把 tag 留在注释；pnpm update --changeset 可为 workspace 依赖变更生成 changeset。
pnpm-workspace.yaml 新增 update、audit 配置段以替代旧命名，publishConfig.name 允许发布产物使用不同包名，self-update 也不再接受项目配置的干扰。维护 monorepo 或 GitHub Actions 的团队应 migrate 配置键并在预发布分支验证更新与发包流程，风险等级为中。
npm 12.0.2 / 11.19.0
参考来源：npm 12.0.2、npm 11.19.0
npm 于 7 月 27 日发布 12.0.2、7 月 28 日发布 11.19.0。两个维护分支都修复 npm pack 未遵从 min-release-age-exclude，以及 npm owner 用户查询未使用 scoped registry；11.19.0 还将 install scripts 的警告标题统一为 install-scripts。
这些修复影响启用了发布年龄策略的包构建及私有 scoped registry 的包所有者查询。使用上述路径的 npm 11/12 用户应 upgrade 至各自最新补丁版本并复测 CI 打包，风险等级为低。
Oxlint 1.76.0 / Oxfmt 0.61.0
Oxc 于 7 月 27 日发布 Oxlint 1.76.0 与 Oxfmt 0.61.0。Oxlint 新增 n/exports-style、eslint/id-denylist、bad-match-all-arg 等规则，并优化多条规则的遍历与内存分配；Oxfmt 新增 YAML formatter，以及 LSP 的 oxc.fmt.disableNestedConfig 配置。
两者还修复了 ImportMeta/NewTarget 序列化、模板字面量、SCSS、YAML 缩进等问题。接入 YAML 格式化或新增规则集的项目应 verify 现有 lint 基线与格式化 diff，风险等级为低。
UI 与桌面应用
Ant Design 6.5.3
Ant Design 于 7 月 31 日发布 6.5.3，修复 Input.OTP 在字符串 mask 下仍使用 type="text"、布尔 mask 暴露原值的问题；同时修复 DatePicker RangePicker 失焦提交未确认部分值、Form.Item useStatus 返回旧校验结果、受控 Table 筛选未同步等问题。
此外，默认下载链接新开页可访问 opener 的 Upload 问题已处理，Typography 大列表省略提示亦得到优化。使用 OTP、受控表格筛选或下载链接的应用应 upgrade 并回归表单与下载交互，风险等级为中。
Electron 42.8.0
参考来源：Electron 42.8.0
Electron 于 7 月 28 日发布 42.8.0，基于 Chromium 148.0.7778.280、Node.js 24.18.0 与 V8 14.8.178.38。Linux 的 process.getSystemMemoryInfo() 新增 available 字段，对应 /proc/meminfo 的 MemAvailable；macOS 透明或 click-through 窗口覆盖时错误进入 hidden/background-throttled 状态的问题已修复。
该版本还清理 Windows 从 ASAR 加载 ICO 时遗留的临时图标文件。需要系统内存余量或使用透明窗口、ASAR 图标资源的桌面端应 upgrade 并覆盖三平台打包测试，风险等级为低。
AI 开发工具
Cursor：iPad 客户端与 Cursor Start
Cursor 于 7 月 29 日向全部付费计划开放 iPad 客户端；iPhone 与 iPad 新增 Inbox 和完整 PR 审查流程，iPad 支持固定侧栏并同时观察多个 agent、分屏查看 review/chat 与完整 diff。7 月 28 日，Cursor 还在印度推出每月 ₹649 的 Cursor Start，含 Grok 4.5、Composer、常驻 cloud agents 与 iOS 远程控制。
两项更新分别受付费计划与印度地区限制，不改变桌面客户端行为。符合账号和地区条件的移动端协作用户应 verify 审查权限、云端 agent 用量与移动网络策略，风险等级为低。
社区动态
TanStack 品牌更新
TanStack 于 7 月 29 日发布新的 logo、设计系统与品牌视觉，本次为官网及生态展示层的统一更新，未宣布 TanStack Query、Router、Table 等库的 API 或版本变化。
依赖 TanStack 官方 logo、截图素材或跳转链接的文档站点可能需要同步视觉资源；运行时行为不受影响。维护相关品牌资产的项目应 verify 资源引用与视觉回归，风险等级为低。
本周推荐阅读
- pnpm 11.15–11.19 —— 覆盖 GitHub Actions 自动更新、changeset 生成、发布别名与供应链策略，直接影响 monorepo 的依赖维护和发包工作流。