2026 Удалённый Mac CI: Yarn Berry PnP и node_modules — матрица трансграничной установки

На хостинге удалённого Mac CI холодный yarn install упирается в TLS, RTT и объём tarball’ов, а не в локальный CPU. Yarn Berry с PnP (nodeLinker: pnp) снижает лавину мелких записей: один .pnp.cjs и сжатый .yarn/cache — часто выигрыш, когда зеркало registry далеко, а APFS быстрый. Классический node_modules (nodeLinker: node-modules) раздувает inode; он уместен, если инструменты ждут физические пути или postinstall уже переписывает дерево.

Ни один режим не отменяет близкое зеркало registry и HTTP/2-дружелюбный egress. Сравнивайте «PnP в 2 раза быстрее» только вместе с географией, числом хопов до зеркала и холодным/тёплым кешом.

Один источник правды для endpoint’ов registry. Для удалённого Mac CI согласуйте с security hostname зеркала и явные таймауты, чтобы job падал с ошибкой, а не «висел». Чеклист связывает Yarn 4 с операционным смыслом.

1. npmRegistryServer — зеркало или апстрим по политике.
2. networkConcurrency — потолок параллельной установки для трансграничных раннеров (старт 12–20, затем метрики).
3. httpTimeout — худший случай tarball (часто 60–120 с на «шумных» линках).
4. httpRetry — ограниченные повторы для 5xx/429 по внутренним правилам SRE.
5. enableGlobalCache: true только на выделенных тёплых хостах с изоляцией тенантов.
6. checksumBehavior в CI — throw, кроме аудируемых исключений.

# Фрагменты .yarnrc.yml — подставьте хосты; секреты не коммитить
nodeLinker: pnp          # или node-modules
compressionLevel: mixed

npmRegistryServer: "https://registry.npmmirror.com"  # пример зеркала

# Ограничить параллельные загрузки при высокой задержке
networkConcurrency: 16
httpTimeout: 90000
httpRetry: 3

# CI: упасть, если lockfile изменится
enableImmutableInstalls: true

# Опционально: глобальный кеш только на выделенных Mac mini
# enableGlobalCache: true

# Внутреннее зеркало без TLS — только с allowlist
# unsafeHttpWhitelist:
#   - "npm.internal.corp"

Сочетайте с Node 22+ и corepack enable, чтобы ноутбуки и агенты Apple Silicon брали одну линию yarnPath.

Гибридные команды тянут публичное с npmjs, а приватные @org/* держат в GitHub Packages. В Yarn — npmScopes; токены только из переменных CI, не литералами в git. При ротации держите два перекрывающихся секрета минимум один цикл пайплайна: NPM_TOKEN и GITHUB_PACKAGES_TOKEN из vault.

# .yarnrc.yml — переменные окружения; значения в секретах CI
npmScopes:
  myorg:
    npmRegistryServer: "https://npm.pkg.github.com"
    npmAlwaysAuth: true
    npmAuthToken: "${GITHUB_PACKAGES_TOKEN}"

npmRegistries:
  "https://registry.npmjs.org":
    npmAuthToken: "${NPM_READ_TOKEN}"

Минимум прав: для install — read:packages на GitHub; публикация — отдельные workflow с узкими scope. Если зеркало registry в другой юрисдикции, согласуйте TLS-инспекцию и логирование с compliance — это не только latency.

Параллельные job’ы умножают одновременные fetch tarball’ов. Ограничивайте и networkConcurrency, и лимиты оркестратора на узел. На диске node_modules в крупных monorepo легко десятки гигабайт; PnP смещает байты в .yarn/cache, но распаковка всё равно нужна. В runbook задайте три уровня: предупреждение (например свободно < 30 ГБ), троттлинг (не брать новые job), стоп (fail до порчи установки).

На общих пулах удалённого Mac коррелируйте алерты диска с фазой yarn install и Xcode DerivedData. Про кеш компиляции — матрица sccache и ccache; про смежные экосистемы — conda / mamba на удалённом Mac CI.

Оборачивайте yarn install --immutable в ограниченный backoff (например 2, 4, 8 с) на транспортных ошибках, но не повторяйте вслепую нарушения checksum — это скрывает дрейф цепочки поставок. Ворота merge: одинаковый отпечаток yarn.lock на чистых macOS-агентах, отсутствие ошибок класса YN0028 на чистом checkout, зафиксированная версия Yarn в метаданных сборки.

#!/usr/bin/env bash
set -euo pipefail
corepack enable
corepack prepare yarn@stable --activate

attempt=1 max=4 delay=2
while [ "$attempt" -le "$max" ]; do
  echo "yarn install попытка $attempt/$max"
  if yarn install --immutable 2>&1 | tee "yarn-install-${attempt}.log"; then
    exit 0
  fi
  # Не повторять immutable / checksum (например YN0028)
  if grep -qE 'YN0028|checksumBehavior|checksum' "yarn-install-${attempt}.log"; then
    exit 1
  fi
  sleep "$delay"
  delay=$((delay * 2))
  attempt=$((attempt + 1))
done
exit 1

Флаки, которые проходят после перезапуска без кода, часто — лимиты зеркала registry, а не тесты; чините уровень registry раньше, чем jest.retryTimes на чужих шагах.

По умолчанию PnP в новых monorepo в 2026? Да, если веб-стек поддерживает из коробки и нужно снять давление на inode на общих Mac; node-modules — если доминирует мобильный/нативный мост и нет бюджета на резолверы.

Ослабляет ли зеркало supply-chain? Только если отключать проверки целостности. Держите checksumBehavior: throw, зеркала только из allowlist, TLS зеркала — как у любого прокси зависимостей.

Связь с CocoaPods / SwiftPM? Стратегия JS независима, но конкурирует за диск и сеть на том же хосте — планируйте тяжёлый yarn install относительно prefetch нативных артефактов.

Смешивать linker’ы в одном репо? Yarn допускает dependenciesMeta точечно; документируйте — смешанный режим усложняет поддержку.