macOS 和 Linux 上最受欢迎的包管理器 Homebrew 于 6 月 11 日发布了 6.0.0 大版本更新。这是一次重要的版本迭代，涵盖了安全性、功能性和性能三个维度的改进，其中对第三方 Tap 的信任授权机制尤其值得关注——它直接改变了 Homebrew 生态中第三方来源的默认行为。

第三方 Tap 信任授权：从无差别评估到显式授权

Homebrew 的"Tap"机制允许用户添加第三方仓库，从而从非官方来源安装软件包。在 6.0.0 之前，Homebrew 会对所有已添加的 Tap 中的软件包进行评估（evaluation），无论其来源是否经过审查。这意味着即使用户只是尝试性地添加了一个陌生的第三方 Tap，Homebrew 也会尝试解析和准备其中的所有软件包信息——这个过程可能在用户不知情的情况下消耗大量时间，甚至暴露于恶意软件的供应链风险之中。

6.0.0 引入了 Tap 信任安全机制：第三方 Tap 在被显式信任之前，不会被纳入评估范围。用户需要主动运行 brew tap --trust <tap> 命令来授权第三方来源，然后 Homebrew 才会处理其中的软件包。这个改动看似是一个小的 UX 调整，实际上是在包管理器层面构建了一道安全屏障——它将"添加来源"和"信任来源"两个行为明确分离，避免了用户在不明确了解后果的情况下被动暴露于第三方代码。

内部 JSON API 提速：告别 YAML 解析

另一个重要的内部变化是 Homebrew 的内部 JSON API 成为默认选项。Homebrew 长期以来依赖一个 YAML 格式的软件包描述文件（bottles）来获取预编译二进制包的信息，但在 6.0.0 中，这套流程已全面迁移至 JSON。官方表示，JSON API 的切换显著加快了软件包信息的更新速度，同时减少了本地解析的计算开销。

这个变化对普通用户的直接影响较小，但对 Homebrew 的维护者而言意味着一次基础设施的迁移：Tap 的维护者需要确保其仓库提供 JSON 格式的 bottle 信息，而不仅仅是旧的 YAML 格式。生态的迁移通常会带来短期摩擦，但 JSON 在现代 CI/CD 流程中的通用性更好，长期来看有利于 Tap 维护者的自动化构建流程。

Linux 沙箱：Bubblewrap 对齐 macOS 安全模型

Homebrew 在 Linux 上的沙箱机制此前与 macOS 版本存在差异。6.0.0 通过 Bubblewrap 实现了 Linux 与 macOS 安全模型的全面对齐——两者现在使用一致的权限控制策略，在 Linux 上运行的 Homebrew 将默认以最小权限原则执行程序，限制其对系统目录的非必要访问。

Bubblewrap 是 Linux 环境中轻量级的 namespace 沙箱工具，被 Flatpak 等现代 Linux 应用分发方案广泛采用。Homebrew 采用它意味着：即使通过 Homebrew 安装的包存在恶意代码或安全漏洞，其对系统的访问能力也被限制在明确界定的范围内。这对于在服务器环境中使用 Homebrew 的开发者而言是一个值得关注的安全加固。

新功能：brew exec、并行安装与扩展生态

brew exec 是 6.0.0 引入的一个新命令，设计上与 Node.js 生态中的 npx 类似：用户可以直接运行通过 Homebrew 安装的工具，而无需将安装路径加入 PATH 环境变量。对于需要在不同项目间快速切换工具版本，又不想污染全局环境的开发者，这个功能填补了一个长期存在的空白。

brew bundle 现在支持并行安装软件包。在此之前，Homebrew Bundle 逐个安装公式（formula），而 6.0.0 引入了并行下载和安装能力，显著加速了大型开发环境的初始化过程。对于需要在新机器上快速还原开发环境的团队，这个改进能节省可观的等待时间。

macOS 27 的支持也在本次更新中加入——虽然距离苹果正式发布还有时日，但 Homebrew 显然已在为下一代 macOS 做准备。同时，Homebrew 的扩展生态新增了 npm 和 krew 插件的集成能力，Linuxbrew 的用户现在可以在 Homebrew 体系中管理 Kubernetes 插件和 npm 包，与现有的 brew 公式管理体验保持一致。

三项安全修复

6.0.0 一并修复了三个安全漏洞：HTTPS 重定向绕过（攻击者可能通过中间人攻击将 Homebrew 重定向至恶意服务器）、Git hooks 根代码执行（恶意 Tap 可能在用户不知情的情况下通过 Git hooks 以 root 权限执行代码），以及一个未公开详情的第三方安全问题。这三个漏洞的存在提醒用户：即使是看似可信的包管理器，在处理第三方来源时也需要保持警惕——6.0.0 的 Tap 信任机制正是对这类风险的直接回应。

性能改进

6.0.0 在性能上也有实质性提升：brew leaves 命令的速度提升约 30%，Homebrew 启动时的 Ruby 库加载也经过优化，冷启动时间缩短。这些改进虽然不如新功能显眼，但对于高频使用 Homebrew 的开发者而言，每次调用都能感受到速度的改善。

本次更新同时标记了一些环境变量的废弃，并为 2026 年 9 月 macOS Intel 降级为 tier-3 支持做好准备——这意味着 Homebrew 正在逐步减少对老旧硬件和系统的兼容性维护投入，将资源集中于更主流的平台。

参考来源：https://brew.sh/2026/06/11/homebrew-6.0.0/