Bun 1.4.3：装 npm@10.9.2 从 196 次 tarball 下载降到 1 次

Bun 1.4.3 的更新集中在安装性能和凭据安全上。

跳过不需要的 tarball

在无 lockfile 安装时，Bun 现在会跳过那些不会进入 node_modules 的包，比如 bundled dependencies 和面向其他平台的包。

官方给的对比数据很直观：安装 npm@10.9.2 时，tarball 下载次数从 196 次降到 1 次。

这个优化对 monorepo 和依赖很多的项目效果最明显。以前每次冷装都要下一堆最终被丢弃的包，现在直接跳过。

凭据处理更严格

registry 和 tarball 的 URL 现在会在附加凭据之前做更严格的解析。这是一处安全性加固，防止凭据被附加到意外的主机上。

为什么这条重要

包管理器在请求依赖时会带上 registry 凭据。如果 URL 解析不够严格，构造特殊的依赖地址就有可能把凭据发到别处。这类问题在生态里反复出现过。

建议

CI 冷装场景收益最大，值得优先升级。老项目如果 lockfile 很久没更新，升级后建议重新生成一次。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

从一百九十六次下载降到一次，冷启动场景的收益非常可观。跳过逻辑依赖包声明的准确性，lockfile 很久没更新的项目升级后建议重新生成一次。

196 次降到 1 次这个数字有点夸张，但冷装时下一堆最后被丢掉的包确实烦人，monorepo 里一次冷装能等好几分钟。跳过其他平台的包这招看着简单，收益最直接。凭据处理那段我也想看细节，安装器碰 .npmrc 的地方一向容易出问题。