开发工具CLI【免费下载链接】degitStraightforward project scaffolding项目地址https://gitcode.com/gh_mirrors/de/degit点击查看免费下载degit 是一款以 straightforward project scaffolding直白的项目脚手架为目标的命令行工具它不执行git clone拉取完整历史而是解析远程仓库的最新提交、下载对应的 tar 快照并解压到目标目录从而在没有.git残留的情况下快速生成项目模板。本文以仓库 docs/CHANGELOG.md 为骨架完整梳理 degit 从 1.0.0 到 3.8.0 的演进历程结合 src/ 下的源码实现讲清楚每个关键版本背后的架构决策、功能细节与安全考量。读完你不仅能理解 degit 为什么是今天这个样子还能掌握--repo-name、--files、gitlab://、degit.jsonactions、glob 删除等能力的正确用法与适用边界。一、版本演进总览一条从克隆工具到脚手架引擎的路线degit 的版本史可以分为两条主线2.x 时代Node 8 兼容的传统分支与3.x 时代Node 20 的现代重写。CHANGELOG 中 3.0.0 明确写道Major release for the Node 20 line; v2 remains the legacy Node 8-compatible branch——3.x 是面向 Node 20 及更高版本的主线而 2.8.5 是 v2 的最终安全补丁final v2 security patch负责在旧分支上维持 Node 8 兼容性。从 package.json 的engines字段可以看到当前仓库要求node 20.0.0。这意味着如果你还在使用 Node 8~18只能停留在 v2 分支要体验本文介绍的所有新能力请使用 Node 20 并安装 v3npm install -g degit以下是关键里程碑的时间轴它们构成了 degit 的能力骨架版本核心变化意义1.0.0首次发布用 HTTPS 而非 SSH 获取快照2.0.0暴露 ESM API可在 Node 脚本中调用2.4.0子目录克隆user/repo/subdir语法诞生2.5.0--modegit为私有仓库引入 git 克隆路径2.6.0交互模式无参数运行进入选择器2.1.0 / 3.5.0degit.jsonactionsclone、remove、search_replace3.0.0Node 20 主线升级 tar 依赖修复安全漏洞3.4.0tarball 默认 SSH 回退架构的最终定型3.6.0gitlab://自托管扩展 GitLab 支持3.8.0--repo-name globCLI 与 action 能力补全二、架构的定型3.4.0 的 tarball 优先、SSH 回退 策略CHANGELOG 中 3.4.0 是理解 degit 内部架构最关键的一个版本它一次性引入了四条并列变更Tarball downloads are now the default, with SSH fallback on failure.Public remotes now prefer HTTPS; explicit SSH sources still use SSH.The JavaScript git backend is bundled for HTTPS ref discovery; SSH/private repos still need systemgit.The published package no longer includes sourcemaps, so the tarball is smaller.这四条变更共同确立了 degit 今天的核心数据流默认走 tar 快照路径失败时回退到 git clone。2.1 tar 路径与 git 回退的源码印证在 src/core/orchestrator.ts 中doCloneToDestination完整实现了这一策略private async doCloneToDestination(dest: string) { if (this.mode git) { const hash await this.getHash(this.repo, {}); await this.cloneGitToDestination(dest, hash || this.repo.ref); return; } try { await this.cloneWithTar(dest); } catch (error) { if (!this.shouldFallbackToGit(error)) { throw error; } this.warn({ message: tar snapshot download or extraction failed; falling back to git clone, }); await this.cloneGitToDestination(dest); } }shouldFallbackToGit判断了回退的条件只有当错误码是COULD_NOT_DOWNLOAD且未使用--cache时才回退见shouldFallbackToGit方法。这正是 3.7.1 之前反复打磨的下载失败回退逻辑的最终形态。2.2 提供者的 archive URL 模板Public remotes now prefer HTTPS 的背后是 src/domain/repo.ts 中的providerArchiveTemplates映射它为每个托管平台定义了快照 URL 的构造规则export const providerArchiveTemplates: Record GitProvider, (repo: ArchiveContext, hash: string) string { github: (repo, hash) ${repo.url}/archive/${hash}.tar.gz, gitlab: (repo, hash) ${repo.url}/-/archive/${hash}/${repo.name}-${hash}.tar.gz, bitbucket: (repo, hash) ${repo.url}/get/${hash}.tar.gz, git.sr.ht: (repo, hash) ${repo.url}/archive/${hash}.tar.gz, };注意 GitLab 的 URL 与 GitHub 明显不同包含/-/archive/与repo-name-hash后缀——这正是 3.5.1 修复的GitLab archive URL format问题的沉淀。而parse()函数对https://、ssh://、githost:user/repo等格式的识别保证了 SSH 来源继续使用 SSH 传输transport: ssh。2.3 JS git 后端意味着什么3.4.0 提到 The JavaScript git backend is bundled for HTTPS ref discovery。也就是说公开仓库的 ref 解析把分支/标签/HEAD 解析为 commit hash由打包进 dist 的 JavaScript git 实现完成不需要本机安装git。从 src/core/orchestrator.ts 的getGitClient()可以看到它是动态导入../transports/git/client.js的惰性加载而 SSH/私有仓库仍然依赖系统git二进制。README 也明确Public HTTPS sources do not need a localgitbinary on yourPATH, but SSH/private repositories still do.三、CLI 与交互体验的逐步完善CHANGELOG 记录了大量 CLI 层面的演进它们共同构成了 assets/help.md 中展示的最终帮助文本。3.1--repo-name/-r按仓库名创建目录3.8.03.8.0 新增的--repo-name标志解决了想要目录名等于仓库名的高频需求degit user/repo my-new-project # 显式指定目录 degit -r user/repo # 自动使用仓库名作为目录其实现位于 src/bin.ts 的main函数中const dest positionalDest ?? (args[repo-name] ? parse(resolvedSrc).name : .);即当没有显式 dest 且传入-r时目标目录名取自解析后的仓库名parse(resolvedSrc).name。mri的参数别名配置r: repo-name保证了长短标志互通。3.2--version/-V3.6.4与--help修复3.7.13.6.4添加了--version/-V打印包版本。实现中通过读取package.json的version字段getVersion()失败时抛出COULD_NOT_FIND_PACKAGE错误。3.7.1修复了--help在 Node 20.10 上崩溃的问题原因是import.meta.dirname在 Node 20.11 之前是undefined。当前实现改用new URL(../assets/help.md, import.meta.url)定位帮助文件规避了该问题。3.3 交互模式2.6.0与其后的修复2.6.0 引入交互模式不传任何参数运行degit时会依次提示选择源仓库、目标目录、是否使用缓存见 src/bin.ts 的promptForSource目标目录非空时还会询问是否覆盖confirmOverwrite。交互候选列表来自缓存目录中的map.json/access.jsongetInteractiveChoices并按最近访问时间排序——这正是 2.8.0 的Sort by recency in interactive mode。CHANGELOG 记录了这条链路上的三次关键修复3.1.2修复 Windows 上交互式仓库选择路径分隔符问题3.6.5修复缓存目录不存在时交互模式崩溃fs.existsSync(base)的判空保护3.7.1修复access.json损坏时交互式缓存提示崩溃。3.4 输出按严重性分流3.2.03.2.0 将 CLI 输出按严重性拆分info 消息输出到 stdout警告与错误输出到 stderr。在 src/bin.ts 的run中可以看到对应实现——info 用console.logstdoutwarn 用console.warn错误用console.error并分别以青色、品红、红色着色yoctocolors3.4.3 引入。同时 3.4.7 将 clone 错误的详细堆栈门控在--verbose之下getCloneErrorDetail仅在args.verbose时打印避免默认输出过度暴露内部信息。四、多平台支持GitLab、Bitbucket 与 Sourcehutdegit 的提供者矩阵是逐步扩充的1.1.0 从 SSH 转向 HTTPS2.2.0 加入 Sourcehut3.6.0 加入自托管 GitLab。CHANGELOG 中与 GitLab 相关的记录尤其密集。4.1gitlab://host/user/repo自托管语法3.6.03.6.0 新增了从自托管 GitLab 实例克隆的协议语法degit gitlab://git.example.com/user/repo其解析逻辑在 src/domain/repo.ts 的parseGitlabUrl中提取 host 段git.example.com作为customDomain其余部分作为user/repo路径随后 URL 与 SSH 地址都会基于该自定义域名构造。4.2 GitLab 嵌套组探测3.6.63.6.6 支持了 GitLab 嵌套组由于嵌套组路径如group/subgroup/repo无法静态判定哪一段是用户、哪一段是仓库degit 改为运行时探测候选路径。generateGitlabRepoCandidates会生成从user/repo到完整嵌套路径的所有候选组合tryGitlabProject依次尝试只有遇到MISSING_REF或COULD_NOT_FETCH才继续探测下一个候选。4.3 子目录克隆的坑与修复3.6.2修复 Bitbucket 子目录克隆静默产生空目录的问题3.6.3接受包含分支路径段的完整子目录 URL如/tree/main/...3.6.6解码完整仓库 URL 中 URL 编码的子目录段decodeURIComponent见parse()第一行3.6.5在mode: git下尊重repo.subdir并报告正确的 mode同时修复 git 模式下请求的子目录不存在时抛出错误而非创建空目录。子目录克隆的最终体验参见 docs/USAGE.mddegit user/repo/subdirectory degit https://github.com/user/repo/tree/main/subdirectory五、文件过滤能力从--files到remove的 glob文件层面的选择性操作是 degit 脚手架体验的核心CHANGELOG 记录了这条能力线的两次跃迁。5.1--files/-F只克隆指定文件3.7.03.7.0 为degit增加了files选项CLI 上对应--files/-Fdegit user/repo my-project --files README.md,src/index.ts degit user/repo my-project -F README.md -F src/index.ts在 src/bin.ts 的normalizeFiles中可以看到-F支持逗号分隔与重复标志两种形式最后统一成string[]传入。keepFiles见 src/operations/filesystem.ts在 clone 完成后裁剪出指定路径文档明确缺失或越界路径会被跳过并警告若无任何请求路径命中则保留整个目标目录。5.2removeaction 的 glob 支持3.8.03.8.0 为degit.json的removeaction 增加了 glob 模式支持但必须显式开启allowGlobs标志[ { action: remove, files: [.github/**/*.md], allowGlobs: true } ]为什么需要开关glob 模式可能匹配到超出预期的文件。对应的 schemas/degit.schema.json 中对allowGlobs的描述是When true, entries in files may contain glob patterns such as ** or *.md. Glob patterns are disabled by default because they can match more files than intended. 这一设计既保留了批量删除的灵活性又防止模板作者误伤文件。六、degit.json actions 的完整演进actions 是 degit 区别于普通 tar 下载器的可组合脚手架能力CHANGELOG 记录了它的四个重要节点。6.1 从 2.1.0 到 3.6.1actions 的诞生与加载方式变迁2.1.0首次引入 actions后经 2.1.4 修复3.6.1改为将degit.json作为纯 JSON 加载而非可执行模块——这是一项重要的安全与可移植性改进模板作者无法通过degit.json注入任意 JS 代码配置文件因此可以安全地跨项目复制3.5.0新增search_replaceaction用于在克隆后做文本替换3.7.1拒绝把remove/keep指令解析到目标根目录防止一个degit.jsonaction 把整个克隆目录删除掉安全加固详见第七节。6.2 三种 action 的完整参考clone—— 将另一个仓库克隆进目标目录并保留已有文件[ { action: clone, src: user/another-repo }, { action: clone, src: user/another-repo, files: [README.md, src/index.ts] } ]search_replace—— 用正则替换指定文件中的全部匹配项。注意replacement字段是环境变量的名字其值才是替换字符串[ { action: search_replace, files: [package.json, README.md], pattern: \\{\\{project_name\\}\\}, replacement: PROJECT_NAME } ]在 src/operations/directives.ts 的searchReplaceFiles中可以看到若环境变量未定义则跳过并给出 warning正则使用gu标志进行全局替换每个文件路径都经safeResolve校验越界、不存在或指向目录的文件都会被跳过。remove—— 删除一个或多个文件支持allowGlobs[ { action: remove, files: [LICENSE] } ]6.3 指令执行的底层流程从 src/core/orchestrator.ts 的clone()方法可以看到完整生命周期checkDirIsEmpty→cloneToDestination→keepFiles→ 发出SUCCESS事件 →runDirectives。指令执行时cloneDirective会先把目标目录中已有文件 stash 起来stashFiles子克隆与删除完成后在applyDirectives末尾unstashFiles恢复——这正是 ARCHITECTURE 文档中Directive stash directory指令暂存区的由来它保证了多次 clone action 之间原有文件不被覆盖。此外被克隆的仓库也可以定义自己的degit.json形成递归的 action 链。6.4 JSON Schema 与编辑器体验3.6.63.6.6 为degit.json提供了官方 JSON Schemaschemas/degit.schema.json支持编辑器自动补全与校验。Schema 定义了三种 action 的约束clone必需action与src可选cache、files、verbosesearch_replace必需action、files、pattern、replacementremove必需action、files可选allowGlobsfiles可以是单个路径或非空路径数组均相对目标目录解析、越界跳过。七、安全加固史一次比一次严谨的边界防护CHANGELOG 中散落着大量安全相关条目把它们串联起来可以看到 degit 的安全模型是如何层层加固的。7.1 依赖供应链安全3.0.0升级tar到打过补丁的版本解决影响旧依赖的安全问题2.8.4 → 2.8.5v2 分支的最终安全补丁2.8.4 记录为 Whoops随后 2.8.5 完成修复并保持 Node 8 兼容。7.2 命令执行与路径防护3.3.1 / 2.8.6加固 git 模式下的命令执行与远程地址校验避免恶意仓库源注入 shell 命令3.4.6阻止remove路径穿越到目标目录之外3.7.1拒绝把remove/keep指令解析到目标根目录防止degit.json误删整个克隆。这些防护的代码落点集中在 src/operations/filesystem.tsremoveFiles、keepFiles与 src/shared/utils.tssafeResolve。search_replace同样使用safeResolve校验每个文件路径确保 action 无法读写目标目录之外的文件。ARCHITECTURE 文档总结道The clone flow also relies on path-safe extraction via the tar library and does not expose a general-purpose file import surface beyond the documented repo snapshot behavior.7.3 下载健壮性3.3.2重试损坏的 tarball 下载issue #3133.7.0任何tar/zlib 解压错误而不只是TAR_BAD_ARCHIVE都触发重新下载缓存归档3.4.1修复首次克隆时归档下载挂起的问题3.4.2修复 git-lfs 指针文件落入 tarball 路径的问题3.4.5SSH ref 发现改用流式git ls-remote。八、缓存与离线平台感知的缓存策略degit 的缓存设计从 1.2.0引入离线支持与--cache标志延续至今3.3.0 将缓存目录解析升级为平台感知——每个操作系统使用标准的用户缓存位置Linux/BSD$XDG_CACHE_HOME/degit或~/.cache/degitmacOS~/Library/Caches/degitWindows%LOCALAPPDATA%\degit或~/AppData/Local/degit缓存目录结构见 docs/ARCHITECTURE.md按提供者组织github/user/repo/下存放hash.tar.gz、map.jsonref → commit hash 映射与access.json访问时间记录。缓存有两个语义需要区分默认行为先联网解析最新 ref网络不可达时回退到缓存版本--cache/-c跳过网络请求只使用本地缓存Only use local cache; do not hit the network。3.6.6 专门澄清了--cache标志与默认离线回退行为在帮助文本和 README 中的描述避免用户误解。另外src/core/orchestrator.ts 的getHashFromCache展示了using cached commit hash的 info 事件与USING_CACHE状态码。九、2.x → 3.x 迁移指南综合 CHANGELOG从 v2 迁移到 v3 需要关注以下差异运行时要求Node 20 起步engines.node 20.0.0Node 8 兼容由 v2 分支2.8.5 为最终版本保留degit.json加载方式v3 起作为纯 JSON 解析不再作为可执行模块加载——如果你的旧模板依赖degit.json中的 JS 逻辑需要迁移到受支持的三种 action--modegit的定位变化3.4.0 之后 tarball 成为默认路径--modegit仅作为兼容选项保留并打印弃用提示见 assets/help.md--modegitis still accepted for compatibility.--modetaris the default path依赖精简sander依赖被移除3.4.4改用原生 Nodefs辅助函数终端配色换成yoctocolors3.4.3发布包不再包含 sourcemaps3.4.0。十、结语从变更日志看懂一个工具的取舍回看 docs/CHANGELOG.mddegit 的演进史本质上是在回答三个问题怎么下载最快HTTPS tar 快照优先SSH 兜底、怎么用起来最顺交互模式、别名、--repo-name、--files、怎么保证安全路径校验、JSON 化配置、glob 开关、依赖补丁。每一个版本号背后都对应着源码中的一处实现细节——providerArchiveTemplates里的 URL 模板、safeResolve的边界检查、doCloneToDestination的回退分支。对于使用者而言这些沉淀下来的能力最终都浓缩在degit --help与 docs/USAGE.md 中对于想深入源码的开发者src/core/orchestrator.ts 与 src/domain/repo.ts 是理解全貌的最佳起点而 test/unit/ 下的测试如 index.test.ts则为每一处行为提供了可验证的佐证。赞分享开发工具CLI【免费下载链接】degitStraightforward project scaffolding项目地址https://gitcode.com/gh_mirrors/de/degit点击查看免费下载相关推荐cJSON 版本演进全解析从 1.0.0 到 1.7.19 的 API 变迁与安全加固路线图cJSON 版本演进全解析从 1.0.0 到 1.7.19 的 API 变迁与安全加固路线图 cJSON 是一款以Ultralightweight超轻量序列化Glances 版本演进全解析从 1.x 到 4.5.x 的功能脉络与安全加固之路Glances 版本演进全解析从 1.x 到 4.5.x 的功能脉络与安全加固之路 Glances 是一款面向 GNU/Linux、BSD、macOS 与 W指标监控监控大盘CLI告警MCP 服务SFML 3.x 版本演进全解析从 3.1.0 新特性到历代变更路线图SFML 3.x 版本演进全解析从 3.1.0 新特性到历代变更路线图 导读 本文以仓库根目录的 changelog.md https://link.gitc图形学音视频游戏开发创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 degit 3.x 演进全解析：从 tarball 默认下载到安全加固的完整版本路线图
开发工具CLI【免费下载链接】degitStraightforward project scaffolding项目地址https://gitcode.com/gh_mirrors/de/degit点击查看免费下载degit 是一款以 straightforward project scaffolding直白的项目脚手架为目标的命令行工具它不执行git clone拉取完整历史而是解析远程仓库的最新提交、下载对应的 tar 快照并解压到目标目录从而在没有.git残留的情况下快速生成项目模板。本文以仓库 docs/CHANGELOG.md 为骨架完整梳理 degit 从 1.0.0 到 3.8.0 的演进历程结合 src/ 下的源码实现讲清楚每个关键版本背后的架构决策、功能细节与安全考量。读完你不仅能理解 degit 为什么是今天这个样子还能掌握--repo-name、--files、gitlab://、degit.jsonactions、glob 删除等能力的正确用法与适用边界。一、版本演进总览一条从克隆工具到脚手架引擎的路线degit 的版本史可以分为两条主线2.x 时代Node 8 兼容的传统分支与3.x 时代Node 20 的现代重写。CHANGELOG 中 3.0.0 明确写道Major release for the Node 20 line; v2 remains the legacy Node 8-compatible branch——3.x 是面向 Node 20 及更高版本的主线而 2.8.5 是 v2 的最终安全补丁final v2 security patch负责在旧分支上维持 Node 8 兼容性。从 package.json 的engines字段可以看到当前仓库要求node 20.0.0。这意味着如果你还在使用 Node 8~18只能停留在 v2 分支要体验本文介绍的所有新能力请使用 Node 20 并安装 v3npm install -g degit以下是关键里程碑的时间轴它们构成了 degit 的能力骨架版本核心变化意义1.0.0首次发布用 HTTPS 而非 SSH 获取快照2.0.0暴露 ESM API可在 Node 脚本中调用2.4.0子目录克隆user/repo/subdir语法诞生2.5.0--modegit为私有仓库引入 git 克隆路径2.6.0交互模式无参数运行进入选择器2.1.0 / 3.5.0degit.jsonactionsclone、remove、search_replace3.0.0Node 20 主线升级 tar 依赖修复安全漏洞3.4.0tarball 默认 SSH 回退架构的最终定型3.6.0gitlab://自托管扩展 GitLab 支持3.8.0--repo-name globCLI 与 action 能力补全二、架构的定型3.4.0 的 tarball 优先、SSH 回退 策略CHANGELOG 中 3.4.0 是理解 degit 内部架构最关键的一个版本它一次性引入了四条并列变更Tarball downloads are now the default, with SSH fallback on failure.Public remotes now prefer HTTPS; explicit SSH sources still use SSH.The JavaScript git backend is bundled for HTTPS ref discovery; SSH/private repos still need systemgit.The published package no longer includes sourcemaps, so the tarball is smaller.这四条变更共同确立了 degit 今天的核心数据流默认走 tar 快照路径失败时回退到 git clone。2.1 tar 路径与 git 回退的源码印证在 src/core/orchestrator.ts 中doCloneToDestination完整实现了这一策略private async doCloneToDestination(dest: string) { if (this.mode git) { const hash await this.getHash(this.repo, {}); await this.cloneGitToDestination(dest, hash || this.repo.ref); return; } try { await this.cloneWithTar(dest); } catch (error) { if (!this.shouldFallbackToGit(error)) { throw error; } this.warn({ message: tar snapshot download or extraction failed; falling back to git clone, }); await this.cloneGitToDestination(dest); } }shouldFallbackToGit判断了回退的条件只有当错误码是COULD_NOT_DOWNLOAD且未使用--cache时才回退见shouldFallbackToGit方法。这正是 3.7.1 之前反复打磨的下载失败回退逻辑的最终形态。2.2 提供者的 archive URL 模板Public remotes now prefer HTTPS 的背后是 src/domain/repo.ts 中的providerArchiveTemplates映射它为每个托管平台定义了快照 URL 的构造规则export const providerArchiveTemplates: Record GitProvider, (repo: ArchiveContext, hash: string) string { github: (repo, hash) ${repo.url}/archive/${hash}.tar.gz, gitlab: (repo, hash) ${repo.url}/-/archive/${hash}/${repo.name}-${hash}.tar.gz, bitbucket: (repo, hash) ${repo.url}/get/${hash}.tar.gz, git.sr.ht: (repo, hash) ${repo.url}/archive/${hash}.tar.gz, };注意 GitLab 的 URL 与 GitHub 明显不同包含/-/archive/与repo-name-hash后缀——这正是 3.5.1 修复的GitLab archive URL format问题的沉淀。而parse()函数对https://、ssh://、githost:user/repo等格式的识别保证了 SSH 来源继续使用 SSH 传输transport: ssh。2.3 JS git 后端意味着什么3.4.0 提到 The JavaScript git backend is bundled for HTTPS ref discovery。也就是说公开仓库的 ref 解析把分支/标签/HEAD 解析为 commit hash由打包进 dist 的 JavaScript git 实现完成不需要本机安装git。从 src/core/orchestrator.ts 的getGitClient()可以看到它是动态导入../transports/git/client.js的惰性加载而 SSH/私有仓库仍然依赖系统git二进制。README 也明确Public HTTPS sources do not need a localgitbinary on yourPATH, but SSH/private repositories still do.三、CLI 与交互体验的逐步完善CHANGELOG 记录了大量 CLI 层面的演进它们共同构成了 assets/help.md 中展示的最终帮助文本。3.1--repo-name/-r按仓库名创建目录3.8.03.8.0 新增的--repo-name标志解决了想要目录名等于仓库名的高频需求degit user/repo my-new-project # 显式指定目录 degit -r user/repo # 自动使用仓库名作为目录其实现位于 src/bin.ts 的main函数中const dest positionalDest ?? (args[repo-name] ? parse(resolvedSrc).name : .);即当没有显式 dest 且传入-r时目标目录名取自解析后的仓库名parse(resolvedSrc).name。mri的参数别名配置r: repo-name保证了长短标志互通。3.2--version/-V3.6.4与--help修复3.7.13.6.4添加了--version/-V打印包版本。实现中通过读取package.json的version字段getVersion()失败时抛出COULD_NOT_FIND_PACKAGE错误。3.7.1修复了--help在 Node 20.10 上崩溃的问题原因是import.meta.dirname在 Node 20.11 之前是undefined。当前实现改用new URL(../assets/help.md, import.meta.url)定位帮助文件规避了该问题。3.3 交互模式2.6.0与其后的修复2.6.0 引入交互模式不传任何参数运行degit时会依次提示选择源仓库、目标目录、是否使用缓存见 src/bin.ts 的promptForSource目标目录非空时还会询问是否覆盖confirmOverwrite。交互候选列表来自缓存目录中的map.json/access.jsongetInteractiveChoices并按最近访问时间排序——这正是 2.8.0 的Sort by recency in interactive mode。CHANGELOG 记录了这条链路上的三次关键修复3.1.2修复 Windows 上交互式仓库选择路径分隔符问题3.6.5修复缓存目录不存在时交互模式崩溃fs.existsSync(base)的判空保护3.7.1修复access.json损坏时交互式缓存提示崩溃。3.4 输出按严重性分流3.2.03.2.0 将 CLI 输出按严重性拆分info 消息输出到 stdout警告与错误输出到 stderr。在 src/bin.ts 的run中可以看到对应实现——info 用console.logstdoutwarn 用console.warn错误用console.error并分别以青色、品红、红色着色yoctocolors3.4.3 引入。同时 3.4.7 将 clone 错误的详细堆栈门控在--verbose之下getCloneErrorDetail仅在args.verbose时打印避免默认输出过度暴露内部信息。四、多平台支持GitLab、Bitbucket 与 Sourcehutdegit 的提供者矩阵是逐步扩充的1.1.0 从 SSH 转向 HTTPS2.2.0 加入 Sourcehut3.6.0 加入自托管 GitLab。CHANGELOG 中与 GitLab 相关的记录尤其密集。4.1gitlab://host/user/repo自托管语法3.6.03.6.0 新增了从自托管 GitLab 实例克隆的协议语法degit gitlab://git.example.com/user/repo其解析逻辑在 src/domain/repo.ts 的parseGitlabUrl中提取 host 段git.example.com作为customDomain其余部分作为user/repo路径随后 URL 与 SSH 地址都会基于该自定义域名构造。4.2 GitLab 嵌套组探测3.6.63.6.6 支持了 GitLab 嵌套组由于嵌套组路径如group/subgroup/repo无法静态判定哪一段是用户、哪一段是仓库degit 改为运行时探测候选路径。generateGitlabRepoCandidates会生成从user/repo到完整嵌套路径的所有候选组合tryGitlabProject依次尝试只有遇到MISSING_REF或COULD_NOT_FETCH才继续探测下一个候选。4.3 子目录克隆的坑与修复3.6.2修复 Bitbucket 子目录克隆静默产生空目录的问题3.6.3接受包含分支路径段的完整子目录 URL如/tree/main/...3.6.6解码完整仓库 URL 中 URL 编码的子目录段decodeURIComponent见parse()第一行3.6.5在mode: git下尊重repo.subdir并报告正确的 mode同时修复 git 模式下请求的子目录不存在时抛出错误而非创建空目录。子目录克隆的最终体验参见 docs/USAGE.mddegit user/repo/subdirectory degit https://github.com/user/repo/tree/main/subdirectory五、文件过滤能力从--files到remove的 glob文件层面的选择性操作是 degit 脚手架体验的核心CHANGELOG 记录了这条能力线的两次跃迁。5.1--files/-F只克隆指定文件3.7.03.7.0 为degit增加了files选项CLI 上对应--files/-Fdegit user/repo my-project --files README.md,src/index.ts degit user/repo my-project -F README.md -F src/index.ts在 src/bin.ts 的normalizeFiles中可以看到-F支持逗号分隔与重复标志两种形式最后统一成string[]传入。keepFiles见 src/operations/filesystem.ts在 clone 完成后裁剪出指定路径文档明确缺失或越界路径会被跳过并警告若无任何请求路径命中则保留整个目标目录。5.2removeaction 的 glob 支持3.8.03.8.0 为degit.json的removeaction 增加了 glob 模式支持但必须显式开启allowGlobs标志[ { action: remove, files: [.github/**/*.md], allowGlobs: true } ]为什么需要开关glob 模式可能匹配到超出预期的文件。对应的 schemas/degit.schema.json 中对allowGlobs的描述是When true, entries in files may contain glob patterns such as ** or *.md. Glob patterns are disabled by default because they can match more files than intended. 这一设计既保留了批量删除的灵活性又防止模板作者误伤文件。六、degit.json actions 的完整演进actions 是 degit 区别于普通 tar 下载器的可组合脚手架能力CHANGELOG 记录了它的四个重要节点。6.1 从 2.1.0 到 3.6.1actions 的诞生与加载方式变迁2.1.0首次引入 actions后经 2.1.4 修复3.6.1改为将degit.json作为纯 JSON 加载而非可执行模块——这是一项重要的安全与可移植性改进模板作者无法通过degit.json注入任意 JS 代码配置文件因此可以安全地跨项目复制3.5.0新增search_replaceaction用于在克隆后做文本替换3.7.1拒绝把remove/keep指令解析到目标根目录防止一个degit.jsonaction 把整个克隆目录删除掉安全加固详见第七节。6.2 三种 action 的完整参考clone—— 将另一个仓库克隆进目标目录并保留已有文件[ { action: clone, src: user/another-repo }, { action: clone, src: user/another-repo, files: [README.md, src/index.ts] } ]search_replace—— 用正则替换指定文件中的全部匹配项。注意replacement字段是环境变量的名字其值才是替换字符串[ { action: search_replace, files: [package.json, README.md], pattern: \\{\\{project_name\\}\\}, replacement: PROJECT_NAME } ]在 src/operations/directives.ts 的searchReplaceFiles中可以看到若环境变量未定义则跳过并给出 warning正则使用gu标志进行全局替换每个文件路径都经safeResolve校验越界、不存在或指向目录的文件都会被跳过。remove—— 删除一个或多个文件支持allowGlobs[ { action: remove, files: [LICENSE] } ]6.3 指令执行的底层流程从 src/core/orchestrator.ts 的clone()方法可以看到完整生命周期checkDirIsEmpty→cloneToDestination→keepFiles→ 发出SUCCESS事件 →runDirectives。指令执行时cloneDirective会先把目标目录中已有文件 stash 起来stashFiles子克隆与删除完成后在applyDirectives末尾unstashFiles恢复——这正是 ARCHITECTURE 文档中Directive stash directory指令暂存区的由来它保证了多次 clone action 之间原有文件不被覆盖。此外被克隆的仓库也可以定义自己的degit.json形成递归的 action 链。6.4 JSON Schema 与编辑器体验3.6.63.6.6 为degit.json提供了官方 JSON Schemaschemas/degit.schema.json支持编辑器自动补全与校验。Schema 定义了三种 action 的约束clone必需action与src可选cache、files、verbosesearch_replace必需action、files、pattern、replacementremove必需action、files可选allowGlobsfiles可以是单个路径或非空路径数组均相对目标目录解析、越界跳过。七、安全加固史一次比一次严谨的边界防护CHANGELOG 中散落着大量安全相关条目把它们串联起来可以看到 degit 的安全模型是如何层层加固的。7.1 依赖供应链安全3.0.0升级tar到打过补丁的版本解决影响旧依赖的安全问题2.8.4 → 2.8.5v2 分支的最终安全补丁2.8.4 记录为 Whoops随后 2.8.5 完成修复并保持 Node 8 兼容。7.2 命令执行与路径防护3.3.1 / 2.8.6加固 git 模式下的命令执行与远程地址校验避免恶意仓库源注入 shell 命令3.4.6阻止remove路径穿越到目标目录之外3.7.1拒绝把remove/keep指令解析到目标根目录防止degit.json误删整个克隆。这些防护的代码落点集中在 src/operations/filesystem.tsremoveFiles、keepFiles与 src/shared/utils.tssafeResolve。search_replace同样使用safeResolve校验每个文件路径确保 action 无法读写目标目录之外的文件。ARCHITECTURE 文档总结道The clone flow also relies on path-safe extraction via the tar library and does not expose a general-purpose file import surface beyond the documented repo snapshot behavior.7.3 下载健壮性3.3.2重试损坏的 tarball 下载issue #3133.7.0任何tar/zlib 解压错误而不只是TAR_BAD_ARCHIVE都触发重新下载缓存归档3.4.1修复首次克隆时归档下载挂起的问题3.4.2修复 git-lfs 指针文件落入 tarball 路径的问题3.4.5SSH ref 发现改用流式git ls-remote。八、缓存与离线平台感知的缓存策略degit 的缓存设计从 1.2.0引入离线支持与--cache标志延续至今3.3.0 将缓存目录解析升级为平台感知——每个操作系统使用标准的用户缓存位置Linux/BSD$XDG_CACHE_HOME/degit或~/.cache/degitmacOS~/Library/Caches/degitWindows%LOCALAPPDATA%\degit或~/AppData/Local/degit缓存目录结构见 docs/ARCHITECTURE.md按提供者组织github/user/repo/下存放hash.tar.gz、map.jsonref → commit hash 映射与access.json访问时间记录。缓存有两个语义需要区分默认行为先联网解析最新 ref网络不可达时回退到缓存版本--cache/-c跳过网络请求只使用本地缓存Only use local cache; do not hit the network。3.6.6 专门澄清了--cache标志与默认离线回退行为在帮助文本和 README 中的描述避免用户误解。另外src/core/orchestrator.ts 的getHashFromCache展示了using cached commit hash的 info 事件与USING_CACHE状态码。九、2.x → 3.x 迁移指南综合 CHANGELOG从 v2 迁移到 v3 需要关注以下差异运行时要求Node 20 起步engines.node 20.0.0Node 8 兼容由 v2 分支2.8.5 为最终版本保留degit.json加载方式v3 起作为纯 JSON 解析不再作为可执行模块加载——如果你的旧模板依赖degit.json中的 JS 逻辑需要迁移到受支持的三种 action--modegit的定位变化3.4.0 之后 tarball 成为默认路径--modegit仅作为兼容选项保留并打印弃用提示见 assets/help.md--modegitis still accepted for compatibility.--modetaris the default path依赖精简sander依赖被移除3.4.4改用原生 Nodefs辅助函数终端配色换成yoctocolors3.4.3发布包不再包含 sourcemaps3.4.0。十、结语从变更日志看懂一个工具的取舍回看 docs/CHANGELOG.mddegit 的演进史本质上是在回答三个问题怎么下载最快HTTPS tar 快照优先SSH 兜底、怎么用起来最顺交互模式、别名、--repo-name、--files、怎么保证安全路径校验、JSON 化配置、glob 开关、依赖补丁。每一个版本号背后都对应着源码中的一处实现细节——providerArchiveTemplates里的 URL 模板、safeResolve的边界检查、doCloneToDestination的回退分支。对于使用者而言这些沉淀下来的能力最终都浓缩在degit --help与 docs/USAGE.md 中对于想深入源码的开发者src/core/orchestrator.ts 与 src/domain/repo.ts 是理解全貌的最佳起点而 test/unit/ 下的测试如 index.test.ts则为每一处行为提供了可验证的佐证。赞分享开发工具CLI【免费下载链接】degitStraightforward project scaffolding项目地址https://gitcode.com/gh_mirrors/de/degit点击查看免费下载相关推荐cJSON 版本演进全解析从 1.0.0 到 1.7.19 的 API 变迁与安全加固路线图cJSON 版本演进全解析从 1.0.0 到 1.7.19 的 API 变迁与安全加固路线图 cJSON 是一款以Ultralightweight超轻量序列化Glances 版本演进全解析从 1.x 到 4.5.x 的功能脉络与安全加固之路Glances 版本演进全解析从 1.x 到 4.5.x 的功能脉络与安全加固之路 Glances 是一款面向 GNU/Linux、BSD、macOS 与 W指标监控监控大盘CLI告警MCP 服务SFML 3.x 版本演进全解析从 3.1.0 新特性到历代变更路线图SFML 3.x 版本演进全解析从 3.1.0 新特性到历代变更路线图 导读 本文以仓库根目录的 changelog.md https://link.gitc图形学音视频游戏开发创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考