aube_新一代 Node.js 包管理器

Web前端开发网

fly63.com

首页资源工具文章教程栏目

aube

网站地址:https://aube.en.dev

GitHub:https://github.com/endevco/aube

描述信息:新一代 Node.js 包管理器

访问官网

GitHub

aube是一个快速、安全、能直接替换 npm/pnpm/yarn 的 Node.js 包管理器。

它不是要从零重建生态，而是无缝接入你现有的项目。你的项目里已经有 package-lock.json 或者 pnpm-lock.yaml？aube 能直接读、直接写，不用换锁文件，团队里其他人可以继续用原来的工具。

核心优势

1. 快，而且不是快一点点

安装依赖：热缓存场景下比 pnpm 快约 9 倍，比 Bun 快约 3 倍
重复运行命令：比如反复跑 npm test，aube 能比 pnpm 快最高 101 倍，比 Bun 快 4 倍

怎么做到的？aube 会记住当前依赖的状态，如果 package.json 和锁文件都没变，它直接跳过安装这一步，秒级启动脚本。

2. 省硬盘空间
使用全局内容寻址存储，多个项目共享同一份依赖文件，而不是每个项目都复制一份。你的硬盘不会因为开了几个项目就被 node_modules 塞满。

3. 安全默认设置
aube 默认比较“保守”，这个对团队项目挺有用：

阻止意外的第三方传递依赖
依赖的安装脚本（比如 postinstall）默认不自动执行，需要你手动批准
新发布的包有 24 小时冷却期，不会立刻装上可能有问题的版本
信任降级会直接失败

如果你想要更严格，在配置里写一行 paranoid: true，所有软限制变成硬性拦截。

4. 兼容多种锁文件
它不强制你换锁文件格式，现有的都能处理：

锁文件	能读	能写回
aube-lock.yaml	✅	✅
pnpm-lock.yaml v9	✅	✅
package-lock.json v2/v3	✅	✅
npm-shrinkwrap.json	✅	✅
yarn.lock (v1 classic + v2+ berry)	✅	✅
bun.lock	✅	✅

意味着你可以在本地用 aube，团队成员继续用 pnpm，不打架。

核心命令

日常用的命令和 npm/pnpm 差不多，但多了几个偷懒的快捷方式：

依赖管理

aube add react              # 加依赖
aube add -D vitest          # 加开发依赖
aube remove react           # 删依赖
aube update                 # 更新到 package.json 允许的范围

运行脚本（最常用）

aubr test                   # 运行 test 脚本，依赖过期会自动装
aube dev                    # 直接运行 dev 脚本
aubr build                  # 运行 build 脚本

注意 aubr 这个命令 —— 它是 aube run 的快捷方式，a 后面多了个 r。设计成这样是为了少打几个字。

临时跑一个包

aubx cowsay hi              # 临时跑 cowsay，用完不保留

aubx 是 aube dlx（相当于 npx）的快捷方式，临时环境运行一两次的命令。

其他常用

aube ci                     # CI 环境专用，干净安装，锁文件必须匹配
aube install --prod         # 只装生产依赖
aube approve-builds         # 批准某些包运行安装脚本

适合谁用？

1. 嫌 npm/yarn/pnpm 慢的 Node.js 开发者
尤其是 monorepo 项目，依赖多、安装慢，aube 的加速效果会很明显。

2. CI 环境
CI 每次都是干净环境，跑 npm ci 经常要等很久。换 aube 能节省不少构建时间。

3. 硬盘空间紧张的人
全局存储共享依赖，多个项目不重复占用空间。对经常切换项目的人来说很实用。

4. 需要安全管控的团队
默认阻止未经批准的安装脚本、新包有冷却期、可以开启沙箱模式。对于审查依赖比较严的团队，这些功能比 npm/pnpm 的开箱安全做得更细。

怎么安装

推荐用 mise（一个工具版本管理器）：

mise use -g aube

也可以用 npm 全局装：

npm install -g @endevco/aube

或者 Homebrew：

brew install endevco/tap/aube

几点提醒

不是 100% 兼容所有历史锁文件
- pnpm v5/v6 的旧锁文件需要先用 pnpm 升级
- Yarn PnP 项目不行，aube 写的是 node_modules，不是 .pnp.cjs
安装脚本默认不执行
这是安全设计，但有些 npm 包（比如 node-gyp、sharp）需要在安装时编译，需要手动 aube approve-builds 批准。第一次用可能会遇到包不工作的情况，批准一下就好了。
比较新
目前 GitHub 上 616 个 star，还在早期阶段。生产环境大规模使用前建议先在个人项目或非核心项目上试试。
生态工具链
设计上把“运行时管理”（比如切换 Node 版本）交给 mise 这类工具去做，aube 专注做包管理。如果你习惯了 pnpm 什么都管，可能需要适应一下。