🦕 真的上头，Deno 让你写 TypeScript 不用再配任何东西，存盘直接就能跑。 GitHub 上 10.8 万 star，直接封神了，一千六百多个 issue 还开着，说明真有一大批人在用、在提。 新开一个小项目最消耗热情的就是开头那半小时：初始化、装 TypeScript、配 tsconfig、再装一个能跑 ts 的东西，等这些弄完，最初想试的那个点子已经凉了一半。Deno 把这段整个删掉了——它原生就吃 TypeScript，一个文件写完直接执行。 另一个取向是默认就偏安全，这是 Deno 从第一天起立的规矩，跑别人写的代码时你会庆幸有这一层。底层是 V8 加上 Rust 和 Tokio，拿它写 Web 服务是最顺的用法，内置的 serve 接口几行就能起一个 HTTP 服务，标准库走 JSR 这个注册表取。 顺便说一句，这名字念 dee-no，不是「德诺」。 工具链该是透明的，不该是每次开项目都要重走一遍的仪式。 GitHub：

一个核心包仅5MB的TypeScript项目 就能在浏览器内搭建起专业级3D轨道力学仿真 实时跟踪超过5万颗卫星，并以60fps模拟250万个太空碎片 开源工具叫KeepTrack 借助WebGL，它不仅展示实时轨迹，还提供时间机器，让你自由穿梭于过去和未来，查看任意时刻的轨道分布 还能直观地查看传感器覆盖范围与潜在的碰撞预警 整个应用无需安装，加载迅速，即使在断网环境下也能离线使用 隐私性也保护得很好 对天文爱好者和科普创作者来说，这是一个难得的观察窗口，值得收藏。 GitHub：

📀 又发现一个编译神器 scriptc，能把 TypeScript 写的程序直接编译成一个不用装 Node 的原生可执行文件 仓库今年 7 月底才建，两个月 GitHub 上就冲到 5500+ star，出自 Vercel Labs 的实验项目 平时写个小工具用 TS 最舒服，但交付的时候最烦：对方机器得先装 Node，版本还得对得上，一个两百行的脚本最后附一整套环境说明。scriptc 的做法是拿 TypeScript 自己的编译器做解析和类型检查，然后一路往下走到 LLVM，产出的静态二进制里只带一个很小的原生运行时，Node 和 JS 引擎都不在里面。 最贴心的是它有个 coverage 命令，先告诉你这份代码有多大比例能静态编译，剩下那些动态的地方逐个指出在哪一行，而不是编译到一半糊你一脸报错。实在绕不开 any 和 npm 包的部分，可以显式把 quickjs-ng 引擎嵌进去兜底。 macOS、Linux、Windows 都是它的目标平台，还能产出 WebAssembly 模块。它自己写明还在实验阶段，网络、子进程这类能力在 WASI 上会直接报错拦住，别拿它编生产服务。 TypeScript 写的东西，从此也能交付成一个能直接跑的文件。 GitHub：

最近写了个原生 UI 框架 TSUI，能将 TypeScript 和 XML 编译为原生代码，直接在 GPU 上渲染（使用 GPUI)，并且零 JavaScript 运行时。这样就实现了开发应用时用 GPUI 但不用 Rust 的美好愿望

Jarred在博客里讲的重写Bun，和微软重写TypeScript Go的逻辑是完全一致的， 首先把pattern和type一一对应映射上，然后机械式地一行行从A语言翻译成B语言，一个个写测试跑测试，最后跑system-level test。 实际上还是非常细颗粒地指导AI Agent完成一批automation的工作，不给任何design的空间和机会， 也就是不相信他目前手里的claude code+某个模型自己的任何设计和架构的能力。 所以他写了一个psuedo code来解释这个workflow big loop的基本逻辑。 Again，就是说，spec driven的设计，在bun重构的这件事上，并没有被接受和采纳， 哪怕我已经激进地用onlyspecs写了typescript compilier in C++，写了Rust版本的SQLite，写了lean4的编译器in TypeScript，Jarred和微软这次并没有这么做，不是因为他们胆子比我小，只是因为他们选择了更稳妥的路线。 这个案例至少证明了，从非常非常高无敌高的high level specs直接top down design推翻重写一个大型软件，这种缺德事儿连微软和bun都干不出来，人类还是要依赖机械transpile一个项目，人的经验和工作是不可能被替代的（至少截止到Jarred这篇博客发布之前）。

OpenAI 开源了 Codex Security Codex Security 是一个命令行工具（CLI）加 TypeScript 开发工具包（SDK），用 AI 自动扫描代码仓库里的安全漏洞。它能找到问题、验证问题是否真实存在，还能生成修复补丁。 这个工具之前一直以 Codex 插件的形式存在，但是闭源的。 六月底就有人在 GitHub 上开了 issue 要求开源，理由是安全不该被藏着。现在 OpenAI 把它拆成了独立项目，以 Apache-2.0 协议开源，项目地址： Codex 插件版和独立版有什么区别？ 插件适合在你的 Codex 项目中，直接调用插件做安全扫描。 独立版是给安全团队用的，能批量扫整个组织的所有仓库，支持历史记录、扫描结果去重、误报追踪，还能接进 CI 流水线。 技术细节方面，默认使用 gpt-5.6-sol 模型做高推理强度扫描，需要 Node.js 22+ 和 Python 3.10+，支持 macOS、Linux 和 Windows。扫描结果可以导出为 SARIF、CSV 或 JSON 格式。还有个 install-hook 命令，可以在每次 git commit 前自动扫描改动过的代码，发现高危问题直接拦住提交。 在公开测试阶段，Codex Security 扫描了超过 120 万次提交（commit），在 OpenSSH、GnuTLS、PHP、Chromium 等开源项目中发现了 792 个严重漏洞和 10561 个高危漏洞。有第三方测试对比过，在 16.2 万行生产代码上，Codex Security 的真阳性率是 74%，Snyk 是 28%，Semgrep 是 20%。OpenAI 开源了 Codex Security

卧槽，14.8万星！TypeScript大神把几十年工程经验直接做成了Claude Code的Skill Matt Pocock——就是那个 TypeScript 界封神的老哥——把自己 .claude 目录里的东西开源了。 一行命令安装： npx skills@latest add mattpocock/skills 然后在 Claude Code 里你就有了这些：🔥 /tdd — 强制红绿重构循环，AI写代码必须先写测试，不让它自由发挥 /diagnosing-bugs — 结构化 Bug 诊断，复现→最小化→假设→验证→修复，一步不跳 /grill-with-docs — 需求对齐，让 AI 在动手之前先建立项目的领域模型，不再鸡同鸭讲 /to-prd — 把对话直接变成 PRD 扔进你的 Issue 追踪器 /handoff — 上下文压缩成交接文档，下一个 Agent 直接接着跑 /improve-codebase-architecture — 扫架构问题，出 HTML 报告 他在 README 里写了一句话：这是给真正的工程师用的，不是氛围编程（vibe coding）。 特么的说到我心坎里了😂 AI写代码快是快，但代码质量烂，测试没有，架构是泥球，这些问题这套 Skill 都在帮你堵。 14.8 万星不是吹出来的，是真的有用。

Pi 的 600 行教学版 把上万行的生产级 AI coding agent pi 拆成 600 行 TypeScript 教学版，让初学的人跟着文章从零写一个能读文件、改代码、执行命令的 agent。

据安全公司 StepSecurity 披露，攻击者于 7 月 8 日利用受信任开发者账户权限，在 Injective 官方 TypeScript SDK @injectivelabs/sdk-ts 中植入后门，并通过自动发布流程将恶意版本 1.20.21 推送至 18 个相关 npm 软件包。恶意代码伪装为分析工具，在钱包创建或加载时收集助记词和私钥，并发送至攻击者控制的服务器。受影响版本上线不足一小时后被撤回，18 个软件包随后发布修复版本 1.20.23。StepSecurity 建议，曾在相关时间窗口安装受影响软件包或使用其缓存副本的应用，应将接触过的钱包密钥视为已泄露。