工程师圈子里，成功故事从来不缺，缺的是「创始人公开数落自己」的故事。2019年的 JSConf EU 大会上，Ryan Dahl——就是2009年写下 Node.js 的那位——做了一件极罕见的事：他站上讲台，用二十多分钟，把十年前自己在 Node.js 里做错的设计决定，一条条列出来，足足十条。这场演讲叫 《10 Things I Regret About Node.js》，至今仍是所有做技术选型的人绕不开的一堂课。
它解决的问题是每个开发者都会遇到的：当年那个「合理」的决定，为什么后来变成了债？更狠的问题是——如果你连自己亲手写的代码都看走眼了，今天你该怎么为新项目做决定？Dahl 不是在忏悔，他是在演示一种稀缺能力：把旧决策放回当时的约束条件下重新审视，然后诚实地宣布「我错了」。这份清单后来直接催生了 Deno，也倒逼 Node.js 自己补课。看懂这十条悔棋，比看一百篇「最佳实践」都管用。
| 项目 | 内容 |
|---|---|
| 视频标题 | 10 Things I Regret About Node.js – Ryan Dahl – JSConf EU 2019 |
| 频道 | JSConf EU（官方频道） |
| 时长 | 约27分钟 |
| 播放量 | 百万级 |
| 核心主题 | Node.js 十大设计失误复盘，以及它们如何催生了 Deno |
很多人不知道，Node.js 最初的版本里其实是有 Promise 的。Dahl 在演讲里承认，项目启动约半年后，他把 Promise 从核心里删掉了——理由非常务实：当年的工具链很难对 Promise 做性能分析（profiling），回调加 EventEmitter 的写法反而「看得见摸得着」。这个决定让他后悔了十年。
后续的历史我们都知道：回调地狱（callback hell）折磨了整个社区好几年，一层套一层的箭头函数成为一代人的心理阴影；ES2015 把 Promise 写进语言规范，ES2017 的 async/await 一统江湖，语言最终回到了 Dahl 当年放弃的那条路上。这一段给我的触动最深：技术选型的错误，往往不是选错了技术，而是为了迁就当下的工具链，放弃了正确的抽象。 当时的 profiling 工具跟不上，不代表抽象本身错了——这是视频原话之外，我认为最值得展开的一层分析。
Dahl 在演讲里做了一个对比：浏览器里的 JavaScript 跑在沙箱里，读个文件都要弹窗授权；而 Node.js 生下来就拥有整台机器的全部权限——读文件、发网络请求、执行命令，随意。更糟的是 npm 的安装机制：npm install 的时候，包里声明的构建脚本（preinstall/postinstall）会自动执行任意代码。你装一个依赖，等于把陌生人请进家门还交出了钥匙。
这不是危言耸听。演讲前一年刚发生过 event-stream 事件：一个下载量巨大的老包被恶意注入代码，专门盯上了某个比特币钱包应用的用户；再往前，2016年 11 行代码的 left-pad 被作者一怒下架，半个 npm 生态的构建当场瘫痪，连 Babel 都中招。Dahl 给出的修正案体现在 Deno 里：默认零权限，读文件要 --allow-read，联网要 --allow-net，每个权限都显式授予。
第三刀砍向模块系统。require('foo') 这行代码里藏着一大套隐式规则：先看是不是核心模块，再沿目录树一层层向上找 node_modules，还要翻 package.json 里的 main 字段，最后兜底到 index.js。Dahl 认为这套「聪明的」解析算法是个错误——它让模块的来源变得不可预测，解析速度慢，依赖树层层嵌套，行为难以推理。
他的理想方案朴素得多：像浏览器一样，导入就写明确的路径，带上文件扩展名，甚至可以直接用 URL 导入远程模块。显式，永远优于魔法——这条原则后来成了 Deno 的基本教义：导入必须写全路径带扩展名，远程模块直接用 URL，不搞目录级暗语。
Dahl 对 package.json 的吐槽相当不留情：这个文件既是依赖清单，又是项目元数据，还是构建配置，塞进了一堆字段——而其中不少（比如 engines）实际上并没有被运行时严格执行，形同虚设。再叠加语义化版本的范围符号（caret 之类），同一个 package.json 今天装和明天装，可能得到两棵不一样的依赖树。
社区其实已经在用行动回应这个问题：2017年 npm 5 引入 package-lock.json 把依赖树钉死；npm ci 命令强制按锁文件安装。但这些补丁恰恰说明：当一个文件被赋予太多职责时，每一项职责都会做不好。 这是软件设计里反复出现的母题，不只是 Node 的毛病。
清单里还点名了构建系统 GYP——当年为了编译 C++ 原生扩展选的工具，让写 Node 原生模块的开发者常年痛苦。选型当时的理由很现实：V8 项目本身在用，顺手。但「顺手」和「好用」是两回事，原生 addon 的编译配置从此成为社区多年的高频吐槽点。这一条提醒我们：基础设施层的偷懒，会被生态里的每一个人反复偿还。
演讲的最后，Dahl 把 Node 定义成一场实验——一场影响力远超预期的实验。而他的「修订版」就是 Deno：基于 Rust 重写、默认安全沙箱、原生支持 TypeScript 和 ES Modules、显式导入、单文件编译分发。几乎每一条设计都对着十年前的悔棋清单开枪。
但故事有个耐人寻味的反转：2024年发布的 Deno 2.0，又回头兼容了 npm 生态和 package.json——因为再正确的设计，也拗不过百万个现存项目的生态惯性。与此同时，Node.js 自己也在补课：支持 ES Modules、锁文件成为标配、审计与来源签名机制逐步落地。设计可以推翻重来，生态只能慢慢修复——这是清单之外的另一个大教训。
十个决定，每一个在2009年都有当时的合理性：删 Promise 是因为 profiling 工具跟不上，选 GYP 是因为 V8 在用，给满权限是因为服务端脚本本来就要操作文件和网络。Dahl 厉害的地方在于，他没有用今天的后见之明去羞辱昨天的自己，而是把「当时的约束」和「事后的代价」掰开讲清楚。这种复盘能力——把旧决策拆解成「前提、选择、代价」三段——恰恰是大多数技术团队 retro 会议上最缺的东西。多数团队的复盘止步于「下次注意」，而他的复盘产出了一个新的运行时。
flowchart TD
A["2009：Dahl 写下 Node"] --> B["为性能弃用 Promise"]
A --> C["require 按名字找模块"]
A --> D["npm 脚本随装随跑"]
B --> E["回调地狱十年"]
C --> F["node_modules 黑洞"]
C --> G["index.js 魔法"]
D --> H["供应链攻击入口"]
E --> I["ES2017 async/await<br/>证明 Promise 是对的"]
F --> J["依赖树不可复现"]
H --> K["event-stream 事件"]
I --> L["2019：十宗罪演讲"]
J --> L
G --> L
K --> L
L --> M["Deno 修订版<br/>默认沙箱+显式导入"]
L --> N["Node 自我补课<br/>锁文件+ESM+审计"]
M --> O["启示：显式优于魔法<br/>标准优于自造"]
N --> O
如果你是日常写 Node 的人，三个动作明天就能做：第一，把锁文件提交进仓库，CI 里用 npm ci 而不是 npm install，让每次构建可复现；第二，审视安装脚本——可以在本机或 CI 里禁用依赖的 install 脚本（ignore-scripts 配置），代价是部分依赖原生编译的包需要单独处理，但至少给了供应链攻击加一道闸；第三，新项目直接上 ES Modules，导入写全路径带扩展名——不是为了赶时髦，而是为了可预测。
如果你做 API 或平台设计，这场演讲是免费的设计课：跟语言标准走，别自造平行体系（Node 之于 Promise 的教训）；默认最小权限，能力按需显式授予（浏览器沙箱与 Deno 的启示）；别让一个文件/一个概念承载太多职责（package.json 的教训）；隐式魔法省下的每一行代码，将来都会以十倍调试时间还回来（index.js 的教训）。
如果你带团队，最值得抄的是他的复盘格式：每个旧决策拆成「当时的约束—做过的选择—今天的代价」，约束变了，结论才变得理直气壮。季度回顾时，让每个人列一份「如果重来我不会再做的十个决定」——这份清单的价值，通常高于任何一份成功经验总结。
顶级工程师和普通工程师的差距，不在于谁不犯错，而在于谁敢把错误清单公开讲上二十七分钟——这场演讲教你的复盘能力，比任何框架都保值。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID： gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。