什么是 Deno？它和 Node.js 有什么区别？

Deno 的核心设计理念

Deno 由 Node.js 创始人 Ryan Dahl 在 2018 年发起，动机是他公开承认 Node.js 有几个设计决策无法在不破坏兼容性的前提下修复：默认不安全的执行环境、混乱的 node_modules 机制、以及 CommonJS 与 ES Modules 并存的模块系统。Deno 从零开始，用 Rust 重写了底层，试图给出更干净的答案。

Deno 和 Node.js 的关键区别

安全模型：Deno 默认沙箱执行，脚本无法读写文件、访问网络或读取环境变量，必须通过 --allow-read、--allow-net 等标志显式授权。Node.js 默认完全信任脚本，没有权限墙。

模块与包管理：Deno 用 URL 直接导入模块，不依赖 package.json 和 node_modules。Deno 2.0 起 npm: 前缀已稳定支持，可以 import express from "npm:express" 直接使用 npm 包。Node.js 仍以 npm + package.json 为核心。

TypeScript：Deno 原生执行 .ts 文件，零配置。Node.js 22 虽已实验性支持，但生产环境仍需配置转译。

API 风格：Deno 全部采用 Promise/async-await，Node.js 保留了大量回调风格的旧 API。

底层实现：Deno 基于 Rust + V8，Node.js 基于 C++ + V8 + libuv。

bash
# Deno 权限示例
deno run --allow-net --allow-read server.ts

2026 年选型建议

• 选 Node.js：已有大型项目、依赖 npm 生态深度、团队招聘池大
• 选 Deno：新项目优先安全（如跑不可信代码）、边缘部署（Deno Deploy）、TypeScript-first
• 考虑 Bun：CI/CD 追求极致速度、高吞吐 HTTP 场景

追问方向

• Deno 的权限模型能防范供应链攻击吗？-- 能限制恶意包的文件和网络访问，但 --allow-all 等于没有限制
• Deno 2.0 的 npm 兼容性有没有坑？-- 大部分主流包可用，但依赖原生 C++ 模块的包可能失败
• 为什么 Ryan Dahl 认为node_modules是个错误？-- 它导致幽灵依赖、磁盘浪费、安装慢，Deno 用全局缓存 + URL 导入替代