Обновление решает проблемы прототипного загрязнения, ReDoS-атак и командной инъекции. Оно восстановит CI/CD, добавит поддержку новых рантаймов и упростит миграцию. Зачем это нужно? Чтобы избежать дыр в безопасности и ускорить разработку с актуальными инструментами.

Восстановление инфраструктуры и CI/CD

Команда Lodash провела масштабную работу над инфраструктурой. Восстановили CI/CD пайплайны, которые годами не работали стабильно. Теперь тесты проходят на всех поддерживаемых версиях Node.js, включая новые рантаймы вроде Bun. Это значит, что релизы выходят предсказуемо, а разработчики получают надежные обновления.

Добавили современный браузерный тестинг на базе Playwright с четкой матрицей совместимости. Убрали устаревшие конфиги и документацию. Такой подход позволяет быстро фиксить баги и добавлять фичи без риска сломать существующий код. В итоге библиотека снова стала инструментом для production-приложений.

• Полное перестроение CI: Решены проблемы с тестами, расширена поддержка Node.js и Bun.
• Документация на автопилоте: Изменения валидируются автоматически, что снижает ошибки.
• Браузерный тестинг: Playwright заменил старые инструменты, фокус на актуальных браузерах.

Усиление безопасности - ключевые изменения

Основной акцент обновления - на безопасности. Lodash страдала от уязвимостей вроде прототипного загрязнения в функциях unset, omit, pick и set. Новая версия закрывает CVE-2025-134655 и старые дыры типа ReDoS в toNumber и trim. Ввели формальный план реагирования на инциденты и threat model.

Интегрировали GitHub Security Advisories, CodeQL для статического анализа и Renovate для автообновлений зависимостей. Dependency review в PR и мониторинг через OpenSSF Scorecard минимизируют риски. Теперь библиотека на уровне других OpenJS проектов. Это критично для веб-приложений, где Lodash везде - от фреймворков до билд-систем.

• Прототипное загрязнение: Фикс в unset, omit, setWith и zipObjectDeep.

Новые фичи и планы на major-версию

Хотя текущий релиз - патч 4.17.23+, анонсирована полноценная major-версия. Она сбросит поддержку старых рантаймов, добавит современный синтаксис и FP-методы. Упрощена загрузка: core, fp и cherry-pick модулей для легких бандлов. Это ускорит работу с массивами, объектами и строками.

Примеры: улучшенная поддержка символов в путях, subclassed arrays и lazy evaluation без лимитов. Планируют консолидировать форки и микропакеты в один core. Такие изменения сделают Lodash легче и быстрее, особенно в больших проектах.

• Поддержка новых рантаймов: Bun, современный Node.js.
• Оптимизация бандлов: Легкие импорты lodash/at, lodash/fp/curryN.
• Расширенные методы: Символы, deep paths, map/set клоны с custom свойствами.

Итоги трансформации Lodash

Обновление превратило Lodash из забытой библиотеки в активно поддерживаемый проект с Technical Steering Committee. Закрыты ключевые уязвимости, инфраструктура на высоте, roadmap четкий. Осталось дождаться major-релиза с дропом legacy-поддержки.

Это сигнал для экосистемы: даже старые инструменты могут возродиться. Стоит присмотреться к нативным альтернативам вроде structuredClone, но Lodash остается удобным для сложных задач. Дальше - оптимизация под ESM и еще больше безопасности.