Node.js 生态选型顾问

它解决什么问题

npm 生态的麻烦不是没东西可选，而是选项太多。一个 Web 框架有上百个候选，ORM 和数据校验库每隔几周就换一批维护者，搜「Node 测试框架」的结果能翻好几页。更麻烦的是代价滞后：选的时候看着都差不多，上线半年才发现包没人维护了、Serverless 冷启动被重框架拖慢、TS 项目里类型定义和运行时校验对不上。

技能怎么工作

不是给一列推荐清单，而是先问三个问题把范围收窄：

• 项目形态：API 服务、全栈应用、CLI 还是库？这决定框架层走 Express 系、Fastify 系还是元框架
• 团队 TypeScript 程度：全 TS 优先 schema-first 的库，JS 团队避开重类型体操的包
• 部署环境：Serverless 对冷启动敏感，重框架直接出局；容器交给编排器，裸机才用 pm2

范围定了之后按十二类场景逐个给思路：Web 框架、ORM、数据校验、日志、测试、HTTP 客户端、构建、进程管理、任务队列、定时任务、环境配置、包管理器。每个场景都讲取舍理由，比如数据校验选「校验即类型」的库（zod 类），一份 schema 同时产出运行时校验和 TS 类型。

依赖怎么筛

选包时跑三道检查：

• 健康查：周下载量、最近发布时间、open issue 响应速度。单维护者且半年不更新就要谨慎
• 体积查：安装前看依赖树大小，is-odd 这种微包背后可能挂着 50 个传递依赖
• 安全查：npm audit 加查历史是否有恶意版本事件；锁文件必须提交，CI 里跑依赖审计

核心原则是少即是多：fs、path、crypto、fetch 标准库能做的不引包，一行代码的包自己写。

注意点

npm 生态迭代极快，具体包当前状态以官方仓库为准；重大选型先跑一周试点再铺开。供应链攻击真实存在：锁版本、审计依赖、CI 禁用白名单外的 postinstall 脚本。