前Zod作者推出Nub发布一天登Hacker News首页前Zod作者、前Bun团队成员Colin McDonnell推出全新开源项目发布仅一天即登上Hacker News首页收获近2000 Star。不打算「杀死」任何东西的野心项目是什么2026年6月24日名为Nub的开源项目正式发布v0.2.0版本。在JavaScript工具链极度拥挤的当下若作者是普通人这或许稀松平常。但当作者是Zod的创造者Colin McDonnell且他此前还在Bun团队工作过时事情就不同了。当天Colin在Hacker News上以「Show HN: Nub -- A Bun-like all-in-one toolkit for Node.js」为题发布帖子。截至发稿该帖已获得196个点赞和56条讨论。GitHub仓库在不到48小时内突破1,800 Star已有970次提交和52个版本发布对于刚进入公开Beta的项目来说这是相当炸裂的开局。然而最让人意外的并非其性能多快而是它主动放弃了很多Nub没有自己的运行时没有自己的全局对象没有nub:前缀的内置模块没有nub/*的npm作用域甚至没有自己的lockfile格式。它在标准的Node.js之上运行用Colin的话说「把Nub明天删掉你的代码照样能跑。」Node.js的生态碎片化问题根源在哪要理解Nub的价值需直面Node.js开发者每天经历的痛苦——工具碎片化。运行TypeScript需要tsx或ts-node管理依赖要从npm、pnpm、yarn、bun中四选一执行CLI工具可用npx或pnpm dlx切换Node版本有nvm、fnm、volta可选加载环境变量要装dotenv-cli监听文件变化需装nodemon。每个工具都有自己的配置文件、命令行参数、怪癖和边界情况。Bun和Deno试图用「另起炉灶」的方式解决问题创建全新运行时并打包所有功能。但正如Nub官方博客所指出的两者都未能动摇Node.js在生产环境中的统治地位。没有主流云厂商将Bun或Deno视为一等公民部署目标它们的Node兼容性也远远落后于真正的NodeBun在Deno的兼容性测试中仅通过40.5%。Nub的核心论点很简洁「Bun和Deno在尝试替代Node.js而Node.js是不可替代的。我们要做的是增强它。」为何说Nub是刀柄为Rust打造的瑞士军刀Nub本质上是用Rust编写的单一二进制文件将六个核心开发工具整合到一个nub命令中nub 替代node, tsx, ts-node, dotenv-clinub run替代npm run, pnpm runnubx替代npx, pnpm dlx/execnub install替代npm, pnpmnub watch替代nodemon, node --watchnub node替代nvm, fnm, volta。技术实现上Nub使用[oxc](https://oxc.rs/)作为TypeScript/JSX转译器将其编译为Node原生插件N - API在内存中完成转译后直接交由标准node二进制执行。它利用Node.js 2025年引入的module.registerHooks()同步API来注入模块解析逻辑开销仅约0.5毫秒Colin在HN评论中特别提到这个API是Nub的「关键解锁点」此前的异步API会带来19毫秒的固定注册开销。包管理器底层嵌入了[aube](https://github.com/jdx/aube)引擎由知名开发者工具mise的作者jdx开发兼容pnpm的workspace文件、hooks和pnpm - workspace.yaml并且能双向识别已有的pnpm - lock.yaml、package - lock.json和bun.lock。Nub性能如何比的是什么Nub官方公布的一系列基准测试数据相当抢眼TypeScript文件执行Nub用时44ms对手tsx用时128ms差距达2.9倍脚本分发Nub用时14.7ms对手pnpm run用时442.7ms差距达30倍CLI执行(esbuild)Nub用时11ms对手npx用时226ms差距达20倍冻结安装(222个依赖)Nub用时1122ms对手npm用时4163ms差距达3.7倍。不过这些数据虽令人印象深刻但需理性看待。Nub是Rust原生二进制文件而npm/pnpm是Node.js应用冷启动开销天然不同。脚本分发和CLI执行的「30倍」差距主要来自进程启动开销在实际长时间运行的应用中差距会大幅缩小。但在开发循环中频繁的run、exec、文件执行这些毫秒级的积累确实能带来可感知的体验提升。在Node兼容性方面Nub的成绩更为实在在Deno的跨运行时兼容性测试集中Nub通过了98.8%4315/4368与原生Node几乎持平而Deno为77.4%Bun仅为40.5%。Nub在安全方面有何设计Nub在安全方面的设计值得关注。它默认拒绝所有postinstall脚本仅对已知的原生包如esbuild、sharp等放行。每次解析依赖时它会查询OSV开源漏洞数据库检测恶意包并拒绝「信任降级」即如果某个版本失去了provenance签名认证Nub会直接拒绝安装。此外它还设置了24小时的最低发布年龄门槛防止供应链攻击中常见的「发布即利用」模式。在paranoid: true模式下构建脚本将在完全无网络的沙箱中执行将供应链风险压到最低。社区对Nub的反响如何Hacker News的讨论呈现出典型的「谨慎乐观」基调。最受欢迎的正面反馈来自名为ssalbdivad的用户ArkType作者他报告说「刚刚完成了一个将整个monorepo迁移到nub的PR零问题速度快得离谱」。多位评论者赞赏了Nub「增强而非替代」的哲学认为这是与Bun/Deno截然不同的成熟路线。质疑声主要集中在三个方面。其一AI生成代码的品质有人指出ClaudeAI是该仓库的第二大贡献者引发了对代码质量的担忧不过有评论者反驳道「在vibe - coded的运行时上跑你的应用和只用AI写本地开发工具是完全不同的事。」其二生产就绪度目前Nub的nub build命令尚未发布官方承诺「即将推出」后端生产部署仍建议直接使用标准Node。其三攻击面内置的.env加载等功能虽然方便但也意味着更多的代码路径需要审计。零锁定承诺意味着什么Nub最具争议也最具吸引力的设计决策是对「零锁定」的极端坚持。项目不存在任何Nub专有API没有全局对象没有私有模块命名空间没有自创的配置格式。它提供的所有增强功能都是Web标准、TC39提案、未加flag的Node特性或者已有生态工具的兼容层如YAML/TOML导入、.env加载。这意味着选择Nub并非选择一个平台只是选择一种更舒适的Node.js开发方式。如果明天Nub消失了只需把nub run换回npm run代码无需任何修改。这种设计哲学与JavaScript生态一贯的「锁定焦虑」形成鲜明对比。在经历了从Grunt到Gulp、从Webpack到Vite的无数次迁移之后开发者对工具链的信任已十分脆弱。Nub选择用「可以随时离开」来换取「愿意留下」。Nub未来发展如何Nub目前仍是v0.2.0的早期版本前路漫长。nub build生产打包、nub compile单文件二进制输出、官方Docker镜像等关键功能仍在路线图上。1,800 Star的热度能否转化为长期的社区维护力也有待观察毕竟Colin一个人的精力有限而这个项目同时在挑战npm、npx、tsx、nvm和nodemon的领地。但有一点是确定的Nub代表了一种在JavaScript工具链战争中被长期忽视的路线不是推翻重建而是在巨人的肩膀上做减法。对于那些受够了工具碎片化、但又不想背弃Node.js庞大生态的开发者来说Nub提供了一个值得认真考虑的选项。
