jpm

产品简介

jpm 是一个面向 JavaScript 生态的全新包管理器，主打极致速度、超小体积、安全默认。项目用 Rust 重写并以"单一二进制、零运行时依赖"为设计目标，安装 Nuxt 等中大型项目时比 npm 快约 15 倍，体积仅约 2 MB，峰值内存约 34 MB。它的核心理念是让开发者在 CI 与本地都获得更轻、更快、更安全的依赖安装体验，同时完整兼容 npm、pnpm、yarn、bun 四种主流包管理器已有的 lockfile，无需修改业务代码即可平滑切换。

核心功能

• 极致安装速度：在 GitHub CI 上对 nuxt 等三个真实项目、四个安装阶段、八种包管理器进行基准测试，jpm 在 12 个测试场景里为第一名，平均比 npm 快 15 倍。

• 单一二进制零运行时：发行版约为 2 MB 的可执行文件，不依赖 Node.js 或其他运行时，降低分发与冷启动成本。

• lockfile 全兼容：可直接读取 package-lock.json、npm-shrinkwrap.json、pnpm-lock.yaml、bun.lock、yarn.lock 五种主流格式，原样保留版本与依赖树，并写入 jpm 自己的 jpm.lock。

• workspace 与 monorepo 支持：兼容 workspaces、pnpm-workspace.yaml、catalogs、overrides、resolutions、patches 等多种 monorepo 配置。

• 内容寻址存储：每个 tarball 按 hash 校验后解压到 ~/.jpm/store，跨项目共享同一份文件，热安装几乎只是建立硬链接。

• 全局虚拟存储：同一包名版本在多个项目里只构建一次，热安装增量仅 1–2 毫秒。

• CI 友好的冻结模式：jpm ci 与 jpm install --frozen-lockfile 直接按既有 lockfile 安装，切换期间 CI 不需立即改 lockfile。

特色优势

• 安全默认开启：安装脚本需用户显式 jpm approve 才执行，避免供应链投毒；min-release-age 默认让发布不足 24 小时的版本不被采用，即便深依赖里被强制指向新版本；不允许通过 git、tarball 或项目外路径拉取代码，杜绝隐形依赖源；安装前对每个包做 lockfile 完整性校验；凭据不进 lockfile，token 仍留在 .npmrc，含密码的 git URL 直接拒绝；项目自带 .npmrc 无法关闭 TLS 校验、替换 CA 或代理、降级 release age，jpm 显式忽略并在告警中提示。

• 自实现 TLS：jpm 用自己的代码实现 TLS 协议，不依赖 OpenSSL，对照 Project Wycheproof 与 RFC 测试向量验证，并对照 Mozilla 与本地根证书库校验证书链。

• Node 运行时签名校验：按官方 SHASUMS256.txt 校验 Node 运行时，验证 Node 发布密钥签名后才信任。

• 小体积意味着更少的攻击面：单一 2 MB 二进制，没有运行时与依赖树可被劫持。

• 完整迁移路径：保留旧 lockfile 原文件不动，可随时回滚；旧 lockfile 继续可被 jpm ci 读取，新 lockfile 提交后即可完全切换。

• AI 协作范式：项目每一行代码均由 Claude Code（Claude Opus 5.5）生成，由 27 年经验的工程师 JT Turner 指导与质量把关，所有"它能跑"都用 npm、pnpm、yarn、bun 现有测试集反验。

应用场景

• 大型 CI 流水线：GitHub Actions、GitLab CI、Jenkins 上跑前端 monorepo，jpm 安装步骤耗时下降一个数量级。

• 本地开发冷启动：新克隆仓库后第一次安装依赖显著加快，提升开发者体验。

• 容器化前端构建：在体积受限的 CI 镜像里使用 jpm，避免下载体积庞大的 Node 运行时。

• 存量项目渐进切换：保留旧 lockfile，先让 CI 跑通，再逐步把团队本地切换到 jpm。

• 安全合规要求高的企业：希望安装脚本默认不执行、希望版本延迟一天再被采用、希望自动校验证书链的团队。

适用人群

jpm 适合所有使用 Node.js / JavaScript / TypeScript 项目的工程师，尤其是前端架构师、CI 平台负责人、安全工程师，以及需要在前端 monorepo 中追求极致构建性能的开发团队。如果你的 CI 安装依赖耗时是瓶颈，或者你希望默认安全设置更严格，jpm 都是值得一试的选择。

出品方

jpm 由 JT Turner 主导设计与代码审查，主体代码由 Anthropic 的 Claude Code（Opus 5.5）生成，开发仓库位于 GitHub（jtwebman/jpm）。

官网链接

https://getjpm.sh/

更新动态

• 2026 年 9–10 月发布基准测试，覆盖 Linux/macOS/Windows 三平台，对比 npm、pnpm、yarn、bun 多种配置组合。

• 文档持续完善，已上线 benchmarks.md、how-it-works.md、install-scripts.md、configuration.md、migrating.md 等专题文档。