超级管理员
楼主
pnpm 12.11 带来三个值得注意的变化，其中一个和 AI 编码工具的工作流直接相关。
自动安装并校验 rust-toolchain
pnpm 现在会安装 rust-toolchain.toml 中指定的 Rust 工具链，并对其做签名校验。对同时含 Rust 原生扩展的 JS 项目，这消除了手动对齐工具链版本的老问题。
把依赖附带的技能文件链接进来
pnpm 会把直接依赖中附带的 skills 目录文件（形如 skills/某技能/SKILL.md），在通过 pnpm approve 批准后，链接到 .claude/skills 这类目录中。
这条是个信号：包管理器开始承担 AI 编码助手的能力分发职责。依赖不再只提供代码，还可以提供使用这份代码的操作规范。安全上要留个心眼——它意味着第三方包可以要求往你的 AI 助手配置目录里写东西，因此设计了显式的 approve 步骤，不要为了省事全局放行。
新的权限设置
新增一项权限设置，用于记录每个依赖被允许做什么，其中 build 能力的优先级高于 allowBuilds。这让依赖的可执行权限从隐式的黑名单变成显式的白名单，审计时也更容易说清楚。
相邻版本的一点补充
12.10 增加了一个实验性的 loaded node linker，通过 Node.js loader 直接从内容寻址存储里加载兼容的依赖，不再复制文件到 node_modules。对大型单体仓库的安装体积有明显帮助。
同时 12.10 修了两个安全问题：阻止依赖版本字符串中的路径穿越向全局虚拟存储之外写文件；阻止 lockfile 覆盖以 version+integrity 固定的配置依赖的完整性校验值。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。