Живой ли пакет: шесть вопросов вместо звёзд и загрузок

Первый отсев — не про пакет, а про задачу. Многие популярные пакеты появились, когда в языке и браузерах нужного не было. Встроенное с тех пор догнало, а строки в package.json остались.

Последний столбец — статус Baseline, отметка на страницах справочника MDN: работает ли возможность во всех основных браузерах. Newly — во всех, но меньше 30 месяцев, Widely — во всех и дольше 30 месяцев, Limited — не во всех. Если вы читали пролог, мерило знакомо по статье о том, почему у HTML нет номера версии.

Отсюда правило, записанное в учебнике один раз — здесь. Widely — пакет не нужен. Newly — берут встроенное с оговоркой про старые устройства: у части пользователей браузер старее, чем кажется. Limited — библиотека допустима, но с пометкой «уйдёт, когда…».

Все шесть строк таблицы — Widely, и пакет для этих задач не проходит нулевой вопрос, каким бы живым он ни был. Оговорка одна: встроенное закрывает типичный случай, а не любой. structuredClone не копирует функции, а Intl.DateTimeFormat показывает дату, но не разбирает строки и не считает «через два месяца». Поэтому вопрос звучит так: умеет ли платформа то, что нужно моей задаче.

Пакет, который повторяет встроенное, приходится обновлять, проверять и объяснять новичкам, а работу за него давно делает браузер.

Следующий вопрос — выпускает ли пакет кто-нибудь. Ответ лежит в реестре, и npm view достаёт его в терминале. Спросим про idb — маленькую обёртку над хранилищем браузера IndexedDB, moment — библиотеку дат и request — HTTP-клиент для Node:

npm view idb version time.modified deprecated --json
npm view moment version time.modified deprecated --json
npm view request version time.modified deprecated --json

У idb поле time.modified приходится на день последнего выпуска, у moment — тоже: 15 сентября 2026 года вышла версия 2.31.0 с исправлением уязвимости, первая с декабря 2023-го. А у request там 17 июля 2026 года, хотя версия latest вышла 11 февраля 2020-го: реестр правил метаданные пакета, а выпуска не было. Поэтому возраст считают по дате выпуска версии latest — полю time[версия], — а не по time.modified, которое двигает любая правка метаданных.

У того же request стоит пометка deprecated: автор сам снял пакет с поддержки и написал об этом в реестре. Это прямой отказ, дальше спрашивать не о чем.

idb — пример другого рода: законченный не значит брошенный. Маленькая библиотека может молчать годами, потому что в ней нечего чинить, и по датам этого не отличить. Отличает человек: открывает issues и смотрит, отвечает ли сопровождающий. Функция в конце статьи такой пакет не отвергает, а передаёт вам. Один сопровождающий — тоже не отказ, а пометка о риске: уйдёт он, и заменить его будет некому.

npm view prisma dist-tags.latest
npm view prisma time --json | grep -E "\"(7\.10\.0|8\.0\.0-rc\.15)\""

Дата правки и дата выпуска — разные поля. Возраст пакета считают по выпуску версии latest, а time.modified двигает любая правка метаданных.

Загрузки кажутся самым честным числом: миллионы установок в неделю не могут ошибаться. Сравним одну и ту же неделю сентября у moment в 2026 и 2025 году. Числа отдаёт сервис api.npmjs.org, и curl запрашивает его из терминала так же, как fetch — из кода:

curl -s https://api.npmjs.org/downloads/point/2026-09-07:2026-09-13/moment
curl -s https://api.npmjs.org/downloads/point/2025-09-07:2025-09-13/moment

Рост есть — примерно ×1,03. Но растёт весь npm: у типичного популярного пакета загрузки за тот же год выросли в разы, и во сколько именно — записано константой MEDIAN_GROWTH в функции ниже, с датой расчёта. На таком фоне три процента — не рост, а отставание: доля пакета в нише падает, хотя число растёт.

Абсолютные загрузки врут по двум причинам. Первая — транзитивные установки: пакет скачивают и те, кто его не выбирал, а поставил что-то, что тянет его за собой. next, например, несёт библиотеку обработки картинок sharp в своём списке optionalDependencies.

В разговоре о двух списках зависимостей были только dependencies и devDependencies, а на полках встретятся ещё два. peerDependencies — «работаю рядом с таким-то пакетом такой-то версии, но в себе его не везу»: npm 7 и новее ставит такую пару сам, а если версии не сходятся, установка может остановиться с ошибкой. optionalDependencies — «поставить, если получится»: неудачная установка такого пакета не роняет npm install. Формулировки — по документации npm. Остальное в package.json — поля type и exports, диапазоны версий, lock-файл — подробно разбирает статья «package.json как договор» в части VI.

Вторая причина — автоматика: сборки в CI и агенты, которые сами пишут код и сами добавляют в него зависимости. Сопровождающие moment в заметке о статусе проекта пишут, что автоматические сценарии делают счётчик загрузок ещё менее точным, и связывают основную часть нового роста с агентами. Сам проект они при этом называют legacy в режиме поддержки.

Поэтому смотрят не на «сколько миллионов», а на долю внутри ниши — среди пакетов, решающих ту же задачу, — и на направление. Грубая машинная замена доли — сравнить рост пакета с медианным ростом популярных пакетов: ×1,2 и ниже при медиане в разы больше значит, что ниша уходит от пакета.

Загрузки меряют установки, а не выбор людей. Рост сравнивают с ростом соседей, а не миллионы с миллионами.

Цена пакета — не размер его папки в node_modules, а то, что сборщик положит в бандл. Как разбиралось в статье о статичности импортов, неиспользованное выкидывается только при подходящей форме import. Поэтому одна библиотека с двумя разными строками import может весить в разы по-разному — и не всегда в ту сторону, которую подсказывает интуиция. Цифры такого случая — на полке браузера, в разделе о проверке данных.

Вторая часть цены — лицензия. В поле license реестра обычно стоит короткое имя вроде MIT, но бывает и строка SEE LICENSE IN LICENSE — ссылка на собственный текст внутри пакета. Условия в таком тексте бывают какими угодно, поэтому их читают до установки.

На телефоне цена считается иначе: важны не столько килобайты, сколько другое — заработает ли пакет в готовом приложении для разработки, которое берёт у проекта только JavaScript, или ради него придётся собирать своё приложение вместе с кодом для iOS и Android. Это разобрано на полке React Native и Expo.

И безопасность: каждая зависимость — чужой код с правами вашего проекта, и истории left-pad и event-stream из статьи про npm — не древность.

npm view axios time --json | grep -E "\"(1\.14\.[01]|0\.30\.4)\""
npm view axios versions --json | grep -c "\"1.14.1\""

Цена пакета — то, что уедет к пользователю, условия лицензии и требования к клиенту, а не папка в node_modules.

Пусть даты в проекте показывает библиотека. Если её импортирует единственный ваш модуль dates.js и отдаёт наружу две свои функции, formatDue и addMonthsSafe, то для смены библиотеки правят один файл, а сотню остальных даже не открывают. Если же те же вызовы разбросаны по сотне файлов, библиотека уже стала частью устройства проекта, и заменить её — значит переписать проект. Это и есть вопрос 4: меняется ли зависимость на границе.

Некоторые пакеты за границей не удержать по самой их природе. В следующих частях встретятся четыре таких рода: стили, записанные классами прямо в разметку; своя модель данных на всё приложение; отдельный язык схемы с шагом генерации кода; чужой сервер, где лежат данные ваших пользователей. Каждый бывает оправдан, но каждый превращает смену пакета из правки в переезд.

Противоположность — общий интерфейс на границе, который понимают сразу несколько библиотек. Пример — Standard Schema: его реализуют библиотеки проверки данных, и код, принимающий схему, не знает, какая библиотека за ней стоит. Разобран он на полке React и Next, в разделе о формах.

Честная оговорка: этот вопрос совпадает с укладом автора учебника. Поэтому на каждой полке есть раздел «Не на полке и почему» — с причиной, которую можно проверить, а не со вкусом.

Пакет, который живёт за одним вашим модулем, меняется за вечер. Пакет, вызовы которого разошлись по всему проекту, меняется переездом.

Последний вопрос — о вас. Если механизм библиотеки вы хоть раз собирали сами, видно, где кончаются десять своих строк и начинается работа, ради которой библиотеку пишут. Такие стены в учебнике уже встречались или скоро встретятся:

Отсюда правило полок: пакет попадает на полку либо со ссылкой на свою сборку в учебнике, либо с фразой «своей сборки в учебнике нет, потому что…».

Своя сборка не заменяет библиотеку. Она показывает, за что вы платите, когда библиотеку ставите.

На вопросы 0–2 отвечают данные, и их можно доверить функции. Ниже — снимок шести пакетов: дата выпуска версии latest, пометка deprecated и загрузки за одну и ту же неделю сентября 2026 и 2025 года. Живых запросов в коде нет — только выдержки из реестра.

Ниши знать заранее не нужно, хватит фразы о каждом пакете. uuid делает случайные идентификаторы. request — HTTP-запросы в Node, где теперь есть встроенный fetch. moment — даты. idb — маленькая обёртка над хранилищем браузера IndexedDB из части II. formik — формы в React, до которых дойдёт часть IV. zod — проверка данных, она появится в части III. Прогноз: на каком вопросе остановится каждый из шести?

// выдержки из npm view и api.npmjs.org, снятые 15.09.2026
const TODAY = "2026-09-15";
// медиана по выборке из 209 популярных пакетов, посчитана 13.09.2026:
// во сколько раз за год выросли их недельные загрузки
const MEDIAN_GROWTH = 2.69;

const snapshot = [
  { name: "uuid", platform: "crypto.randomUUID()", released: "2026-08-18", deprecated: null, week: 205907238, weekYearAgo: 169434276 },
  { name: "request", platform: null, released: "2020-02-11", deprecated: "request has been deprecated", week: 9730516, weekYearAgo: 13703812 },
  { name: "moment", platform: null, released: "2026-09-15", deprecated: null, week: 25428467, weekYearAgo: 24746165 },
  { name: "idb", platform: null, released: "2025-05-07", deprecated: null, week: 18024612, weekYearAgo: 9614573 },
  { name: "formik", platform: null, released: "2025-11-10", deprecated: null, week: 3154277, weekYearAgo: 3100160 },
  { name: "zod", platform: null, released: "2026-09-13", deprecated: null, week: 211005391, weekYearAgo: 43235596 },
];

function monthsBetween(from, to) {
  const a = new Date(from);
  const b = new Date(to);
  const months = (b.getUTCFullYear() - a.getUTCFullYear()) * 12 + b.getUTCMonth() - a.getUTCMonth();
  return b.getUTCDate() < a.getUTCDate() ? months - 1 : months;
}

// вопросы идут по порядку, первый «нет» отвечает за весь пакет
function health(pkg, today) {
  if (pkg.platform) return `вопрос 0: платформа умеет сама — ${pkg.platform}`;
  if (pkg.deprecated) return `вопрос 1: снят автором — «${pkg.deprecated}»`;
  const quiet = monthsBetween(pkg.released, today);
  if (quiet > 12) return `вопрос 1: без выпуска ${quiet} мес. — законченный или брошенный, решает человек`;
  const growth = pkg.week / pkg.weekYearAgo;
  if (growth <= 1.2) return `вопрос 2: рост ×${growth.toFixed(2)} при медиане ×${MEDIAN_GROWTH} — ниша уходит`;
  return "вопросы 0–2 пройдены: дальше цена, устройство проекта и своя сборка";
}

for (const pkg of snapshot) {
  console.log(`${pkg.name} — ${health(pkg, TODAY)}`);
}

Порядок решает. uuid жив и растёт, но отсеян на нулевом вопросе: для идентификаторов v4 хватает crypto.randomUUID(), а нужен ли пакет ради других версий UUID, которых в платформе нет, решает задача. request остановился на первом вопросе по deprecated, и загрузки его уже не спасают. Поле platform у него пустое, хотя в Node теперь есть встроенный fetch: хватит ли его, зависит от того, что делает ваш код, а пометка автора закрывает вопрос для любого проекта.

Самое интересное — moment и formik. Машинный вердикт у них один: по датам оба живы, а ниша уходит — рост ×1.03 и ×1.02 при медиане ×2.69 функция посчитала сама. Но свежая дата у moment — выпуск 2.31.0, который закрыл уязвимость, а сопровождающие по-прежнему называют проект legacy — в заметке о статусе и в шапке документации. Вопрос 1 смотрит только на дату, а выпуск с исправлением проходит его так же, как выпуск с новыми возможностями, — поэтому проект в режиме поддержки отсеялся только на втором вопросе. idb остался на первом вопросе с вердиктом «решает человек»: маленькую обёртку проверяют по issues. zod прошёл три вопроса, и это ещё не «брать»: дальше цена, устройство проекта и своя сборка — на них функция не отвечает.

TODAY — константа, а не new Date(): с датой из часов у idb через месяц прибавился бы месяц тишины при прежних загрузках, а с 10 декабря formik перешёл бы со второго вопроса на первый — вывод поплыл бы. Двигает его и сам реестр: снимок днём раньше, от 14.09.2026, остановил бы moment на первом вопросе — 32 месяца без выпуска, — а на второй его перевёл выпуск 2.31.0. С константой снимок остаётся правдой о 15.09.2026 навсегда — так же, как листинг с датой.

Функция отвечает только на то, что видно в данных. Законченный пакет от брошенного, цену и устройство проекта отличает человек.

Советов «берите такой-то пакет» в этой статье нет намеренно: версии и цифры стареют за год, а метод — нет. Имена с версиями и датой проверки живут на трёх полках: браузера — в части II, React и Next — в части IV, React Native и Expo — в части V.

Каждая строка полки отвечает на вопросы этой статьи: когда пакет не нужен и что умеет платформа, где своя сборка, снимок с версией, весом или ценой на дату проверки — и пометка «Пересмотреть, если…», условие, при котором строку пора переписать. Скрипт, который сам спрашивает реестр о зависимостях проекта, появится позже — в части VI, когда код выйдет из браузера в Node.

Метод — на годы, имена — на год. Поэтому у имён на полке есть дата, а у шести вопросов её нет.