Node.js 25.5.0: Bản vá bảo mật quan trọng & cải tiến vượt trội

Phiên bản Node.js 25.5.0, được phát hành vào ngày 26 tháng 01 năm 2026, mang đến nhiều cải tiến đáng kể tập trung vào nhà phát triển và các bản vá bảo mật quan trọng. Phát hành này ưu tiên đơn giản hóa việc đóng gói ứng dụng thông qua một cờ lệnh mới, đồng thời duy trì các tiêu chuẩn bảo mật mã hóa thông qua việc cập nhật các cơ quan chứng nhận.

Cải thiện đáng kể với Single Executable Applications (SEA)

Cải tiến đáng kể nhất dành cho nhà phát triển trong phiên bản này là sự ra đời của cờ lệnh --build-sea. Tính năng này loại bỏ nhiều bước thủ công trước đây cần thiết để tạo các Single Executable Applications (SEA).

Việc hợp nhất này thể hiện một cải tiến đáng kể về trải nghiệm làm việc cho các nhà phát triển phân phối ứng dụng Node.js dưới dạng các binary độc lập.

Quy trình tạo SEA được đơn giản hóa

Trước đây, các nhà phát triển phải thực hiện quy trình ba bước phức tạp để tạo SEA:

• Tạo tệp cấu hình JSON hoặc JavaScript cho ứng dụng.
• Sử dụng Node.js để tạo một SEA được định cấu hình bằng cách sử dụng cờ --experimental-sea-config.
• Sử dụng công cụ postject để nhúng binary được tạo vào một tệp thực thi Node.js đã ký, tạo ra một binary cuối cùng.

Giờ đây, quy trình làm việc mới giảm xuống chỉ còn một lệnh duy nhất:

node --build-sea ./app.js

Quy trình tinh gọn này tích hợp trực tiếp thư viện LIEF (Library to Instrument Executable Formats) vào lõi Node.js. Điều này giúp loại bỏ các phụ thuộc bên ngoài và đơn giản hóa quy trình phân phối.

Thay đổi này vẫn duy trì khả năng tương thích ngược với cách tiếp cận dựa trên dự án hiện có và cờ --experimental-sea-config. Nó đảm bảo các công cụ hiện có vẫn hoạt động trong khi các nhà phát triển chuyển đổi sang phương pháp mới.

Nâng cao hiệu suất hoạt động hệ thống tệp và tích hợp SQLite

Ngoài các cải tiến về SEA, Node.js 25.5.0 còn giới thiệu các nâng cấp thiết thực cho các hoạt động của hệ thống tệp.

Cải tiến hàm fs.watch()

Hàm fs.watch() hiện hỗ trợ tùy chọn ignore. Tính năng này cho phép nhà phát triển loại trừ các tệp và thư mục cụ thể khỏi việc giám sát mà không cần triển khai logic lọc tùy chỉnh.

Điều này giúp ngăn chặn việc xử lý sự kiện không cần thiết và giảm chi phí tính toán trong các ứng dụng theo dõi thay đổi hệ thống tệp. Đây là một cập nhật bản vá hữu ích cho hiệu suất.

Cập nhật tích hợp SQLite

Việc tích hợp SQLite nhận được hai bản cập nhật đáng chú ý. Chế độ phòng thủ (defensive mode) hiện được bật theo mặc định, cung cấp các kiểm tra an toàn bổ sung trong thời gian chạy.

Nâng cao tùy chọn đối số chuẩn bị SQLite (SQLite prepare options args) cho phép kiểm soát chi tiết hơn về hành vi của các câu lệnh được chuẩn bị.

Những thay đổi này phản ánh cam kết của Node.js trong việc nhúng SQLite như một tùy chọn lưu trữ dữ liệu đáng tin cậy, sẵn sàng cho môi trường sản xuất trong thời gian chạy.

Cập nhật bảo mật và các cải tiến cốt lõi khác

Từ góc độ vận hành an ninh, Node.js 25.5.0 cập nhật các chứng chỉ gốc lên NSS 3.119, phiên bản Dịch vụ bảo mật mạng của Mozilla.

Bản cập nhật này đảm bảo rằng các kết nối SSL/TLS được xác thực dựa trên tập hợp các Cơ quan chứng nhận (Certificate Authorities – CAs) đáng tin cậy hiện tại. Điều này duy trì tính toàn vẹn của chuỗi tin cậy mật mã, một phần quan trọng của an ninh mạng.

Việc cập nhật chứng chỉ gốc thường xuyên là điều cần thiết để ngăn chặn các cuộc tấn công man-in-the-middle và đảm bảo các ứng dụng nhận diện các CA mới bị ngừng hoạt động hoặc bị xâm phạm.

Các sửa lỗi và tối ưu hóa hệ thống

Bản phát hành này bao gồm các bản sửa lỗi trên nhiều hệ thống con:

• Cải thiện việc xử lý tiêu đề HTTP với xác thực rawHeaders.
• Tuân thủ đặc tả HTTP/2 cho xác thực initialWindowSize.
• Tối ưu hóa hiệu suất trong mã hóa StringBytes cho các hoạt động UTF8.

Việc đặt tên luồng (thread naming) hiện sử dụng tiền tố “node-” để cải thiện khả năng hiển thị khi gỡ lỗi. Trình chạy kiểm thử (test runner) hỗ trợ việc dự kiến các trường hợp kiểm thử sẽ thất bại một cách có chủ đích, cho phép các kịch bản kiểm thử toàn diện hơn.

Cải tiến hạ tầng và phụ thuộc

Các cải tiến về hạ tầng bao gồm các phụ thuộc được cập nhật: npm 11.8.0, SQLite 3.51.2, ICU 78.2 và V8 cherry-picks. Đồng thời, sự ổn định của hệ thống xây dựng (build system) cũng được nâng cao và tài liệu lỗi WebAssembly được mở rộng.

Phiên bản Node.js này bao gồm hơn 150 commit nhằm giải quyết sự ổn định, hiệu suất và trải nghiệm của nhà phát triển trên toàn bộ hệ sinh thái Node.js.

Node.js 25.5.0 hiện có sẵn trên tất cả các nền tảng chính, bao gồm trình cài đặt cho Windows, macOS và Linux. Để biết thêm chi tiết, hãy tham khảo thông tin phát hành chính thức của Node.js. Đây là một bản vá bảo mật và cải tiến đáng giá cho mọi nhà phát triển.