前端周刊 | Next.js 发布新教程; 百万周下载量包作者供应链投毒; Deno 1.20 发布

新的一周，快来看看上周发生了哪些新鲜事吧！

我的微信：CUG-GZ

科技趣闻

1. Next.js 官方发布全新教程

近日，Next.js 发布了一个新的基础课程，涵盖了 React 的基本知识、它与 Next.js 的关系以及构建第一个 Next.js 应用程序。

Next.js 是一个用于服务器渲染的通用 JavaScript Web 应用程序的小型框架，该框架基于React、Webpack 和 Babel 构建，为该网站提供了强大的支持。

2. 以反战为名，百万周下载量 node-ipc 包作者进行供应链投毒

近日，不少开发者在使用到 vue-cli 中的 node-ipc 模块时，这个依赖项会在桌面以及其他位置创建一个叫做“WITH-LOVE-FROM-AMERICA.txt”的文件，不过打开这个文件是空的。据悉，该 package 每周下载量达到了百万。另外，使用 Yarn 的开发者也受到了影响。

开始有人以为只是个恶作剧，但事情并非如此简单。有开发者在对代码进行测试处理后发现，node-ipc 包的作者 RIAEvangelist 在投毒。他起初提交的是一段恶意攻击代码：如果主机的 IP 地址来自俄罗斯或白俄罗斯，该代码将对其文件进行攻击，将文件全部替换成。该作者是个反战人士，还特意新建了一个 peacenotwar 仓库来宣传他的反战理念。

虽然作者删除了该段代码，但这仍然是一种恶劣的供应链投毒。这样的行为都严重破坏了开源生态中的信任。对此你怎么看？

更新速递

1. React 18.0.0-rc.2 正式发布

3月8日，React 18发布第一个候选版本，上周发布了第二个候选版本。距离正式版更近了一步。

2. Prettier 2.6 正式发布

3月16日，Prettier 2.6 正式发布，此版本主要更新如下：

添加了新的 singleAttributePerLine 选项。这是在 Vue SFC 模板、HTML 和 JSX 中每行仅打印一个属性的选项；
添加对 TypeScript 4.6 的支持；
对于HTML，每行强制执行单个属性；
对于JavaScript，将 waitForAsync 识别为 Angular 中的测试语句，在没有块的 if 语句之后保留行尾注释，JSX 中的内联await表达式，添加acorn解析器；
在正则表达式中添加对 Unicode Set Notation 的支持；
改进 Flow 和 TS 中类型别名中注释的打印；
添加对私有字段解构的支持；
支持装饰器自动访问器语法。

Prettier 是一个“有主见”的代码格式化工具，支持列表如下：

JavaScript，包括 ES2017

JSX

Flow

TypeScript

CSS、LESS 和 SCSS

JSON

GraphQL

简而言之，这个工具能够使输出代码保持风格一致。

更新详情：prettier.io/blog/2022/0…

3. Deno 1.20 发布

3月17日，Deno 1.20 正式发布，该版本的主要更新如下：

更快地调用 Rust；
HTTP 响应正文的自动压缩；
新的子命令：deno bench 和 deno task；
用于升级 HTTP 连接的低级 API；
FFI API 支持只读全局静态；
使用时跟踪操作deno test；
支持AbortSignal.timeout()；
支持Typescript 4.6。

Deno 是 V8 上的安全 TypeScript 运行时。

支持 TypeScript 开箱即用，使用 V8 引擎；

无 package.json、npm，不追求兼容 Node；

通过 URL 方式引入依赖而非通过本地模块，并在第一次运行的时候进行加载和缓存，并仅在代码使用--reload运行，依赖才会更新；

可以控制文件系统和网络访问权限以运行沙盒代码，默认访问只读文件系统可访问，无网络权限。V8 和 Golang 之间的访问只能通过 protobuf 中定义的序列化消息完成；

最终创建单一可执行文件；

发生未捕捉错误时自动终止运行；

支持 top-level 的 await；

旨在兼容浏览器；

可以作为库来引入，以轻松构建自己的 JavaScript runtime。