This Week in Package Management: 11 July 2026
2 days ago
- npm 12.0.0 将 git 和远程依赖项默认设为无，移除了 npm shrinkwrap，并对未知配置报错。
- pnpm 11.10 为 CI 凭据添加了 _auth 设置；11.11 添加了 access 命令并修复了路径遍历漏洞。
- uv 0.11.28 强化了 ZIP 处理；0.11.27 通过 SIMD 和缓存提升了解析器性能。
- Go 1.26.5 和 Rust 1.97.0 发布，包含安全修复和新的 Cargo 特性。
- 安全修复：opam 2.5.2 修复了符号链接遍历，pnpm 修复了路径遍历，ORAS 修复了相对硬链接。
- Packagist 使版本不可变；文章警告不要将 Trusted Publishing 视为安全信号。
- PyPI 透明日志提案、Git 2.55 特性以及 GitHub SBOM 完整性研究。