超级管理员
楼主
TanStack 这周两条消息一起看比较有意思：图表库 Charts 1.0 正式稳定，同时 TanStack Start 修了一个 CVSS 9.3 的 XSS 漏洞（CVE-2026-102989）。
Charts 1.0 的特点
体积小、更新快、可组合、类型安全。和 TanStack 其他库一样，核心与框架无关，另配 React 适配层。这个设计对多框架团队友好，一套图表逻辑可以复用到不同技术栈。
可组合这点值得说：多数图表库给你的是「配置对象」，TanStack Charts 给的是「组件」，想改轴、改提示、改图例，组合而不是查文档找配置项。代价是上手曲线略陡。
9.3 分的 XSS 更该被记住
CVSS 9.3 属于严重级别。TanStack Start 是他们的全栈框架，XSS 意味着可能被注入脚本、窃取会话。修得很快，但暴露的问题值得所有全栈框架警醒：服务端渲染加客户端水合的模式下，任何一处转义疏漏都是致命的。
给使用者的动作
一，升级到修复版本，别等下周。二，检查是否在渲染用户输入的地方用了 dangerouslySetInnerHTML 之类的逃生舱，这类写法是 XSS 的常客。三，给内容加 CSP，即使有漏网的注入，也能限制它能干什么。
一个判断
图表库这种「非核心但到处用」的依赖，选型时除了看 API 好不好用，还要看维护活跃度与安全响应速度。TanStack 这次的响应速度是加分项，但频繁出严重漏洞也说明代码量大、攻击面宽。
建议
新项目可以试 Charts 1.0，老项目不必为了换图表库重构。安全补丁该升就升，别攒着。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。
