Bun v1.4.2：打包器重命名回归导致“能运行但算错”

当天发生了什么

2026-09-05，Bun 团队发布了 v1.4.2 的博客说明；GitHub 发布页时间为 2026-09-05T05:55Z（UTC）。该版本主要修复 v1.4.1 引入的回归。其中与构建相关的一项是：bun build 会把嵌套的 var 重命名为与同一块中 let 相同的名字，导致引入 Elysia 的构建报出 SyntaxError；同一缺陷还可能让 let 与函数参数或 catch 绑定同名，生成的代码能运行，但会计算出错误的值。其他修复包括 AsyncLocalStorage 内存泄漏、worker_threads 的 online 事件顺序、约 350 个上游 WebKit 提交的 JavaScriptCore 升级，以及 Linux 上 FileSink 注册失败时重复关闭文件描述符的问题。

对保护应用逻辑的人意味着什么

标识符重命名是压缩器和大多数 JavaScript 混淆器的核心操作。这个回归展示了最危险的失败形态：不是构建失败，而是语义悄悄改变、程序照常运行。对于在打包之后再叠加混淆、字节码编译或打成单文件可执行程序的团队，每一层变换都会带来类似风险，而且层数越多，定位问题越难。需要说明的是，这个缺陷只针对 Bun 1.4.1 的 bun build，发布说明没有提到其他工具；我们不能据此推断任何具体混淆器存在同类问题。真正的结论是方法层面的：保护措施的价值以“功能正确”为前提。

可以做的检查

第一，锁定打包器、压缩器和混淆器的确切版本，升级作为独立变更提交。第二，测试运行在变换后的产物上，而不只是源码；关键路径最好有对比测试，比较未变换构建与发布构建的输出。第三，特别关注作用域相关的写法，例如块级变量、catch 绑定和参数遮蔽，为它们准备用例。第四，阅读工具的补丁版本说明，留意“回归”类条目。第五，保留可快速回滚到上一个已验证工具链的路径。

行动清单

• 锁定构建与混淆工具版本，升级单独提交
• 在变换后的发布产物上跑行为与对比测试
• 为作用域遮蔽等写法准备专门用例