Hono Tăng Từ 1,5 Triệu Lên 57 Triệu Lượt Tải npm Hàng Tuần Trong Một Năm. Đây Là Vì Sao.

Một năm trước, Hono là framework niche dành cho những người đam mê Cloudflare Workers. Tuần trước, nó được tải xuống 57,5 triệu lần.

Tuần ngày 4 tháng 8 năm 2025: 1,47 triệu lượt tải. Tuần kết thúc ngày 4 tháng 8 năm 2026: 57,5 triệu. Đó là mức tăng khoảng 39 lần trong 12 tháng — và gia tốc vẫn còn đang dốc lên.

Đây là con số ai cũng trích dẫn. Nhưng gần như không ai giải thích tại sao nó xảy ra. Vậy nên tôi đã đọc lịch sử release của Hono trong năm qua (releases) và lấy dữ liệu npm. Sự tăng trưởng không phải may mắn. Đó là chuỗi những lựa chọn có chủ đích cộng dồn đúng vào thời điểm chín muồi.

graph LR
  A["T8/2025: 1,5 triệu / tuần"] --> B["T11/2025: 7 triệu / tuần"]
  B --> C["T2/2026: 27 triệu / tuần"]
  C --> D["T5/2026: 45 triệu / tuần"]
  D --> E["T8/2026: 57,5 triệu / tuần"]
  E --> F["Đường cong vẫn còn dốc"]

Hình dạng của đường cong

API công khai của npm cho chúng ta những con số thực:

Phần thú vị không nằm ở tổng số, mà ở chỗ đường cong tăng tốc. Một framework chỉ đơn thuần phổ biến sẽ tăng tuyến tính cùng với sự chấp nhận. Lượt tải của Hono tăng theo cấp số nhân. Có gì đó đang cộng dồn — và phần lớn trong số đó là việc Hono trở thành đầu ra mặc định của các AI coding agents.

Lý do 1: Hiệu năng chính là sản phẩm

Lướt qua release notes của Hono, vài tuần bạn lại thấy cùng một chủ đề: hiệu năng.

• v4.12.0 — TrieRouter được viết lại, nhanh hơn 1,5–2,0 lần trên Node.js, Deno và Bun. c.json() có fast path như c.text(): +3,2% requests/giây và +10,6% throughput chỉ từ một thay đổi đó.
• v4.13.0 — một đợt tối ưu hóa cấp thấp nữa: bỏ qua việc cấp phát Headers, thay regex tests bằng indexOf, cấp phát state một cách lười biếng. Nhanh hơn tới 1,25x trên đường core request/response.

Những con số đó trông giống micro-benchmark cho đến khi bạn nhớ Hono sống ở đâu. Trên Cloudflare Workers, trên serverless edge functions, trên Bun — bạn trả tiền cho mỗi mili-giây CPU và mỗi request. Một framework cắt 25% khỏi hot path là một framework giảm đáng kể hóa đơn hạ tầng của ai đó. Hono coi hiệu năng là sản phẩm, và lịch sử release chứng minh điều đó: đây là đội ngũ maintainer tiếp tục làm core nhanh hơn thay vì chỉ thêm tính năng.

Lý do 2: Viết một lần, chạy trên mọi runtime

Lý do ban đầu để Hono tồn tại là Cloudflare Workers. Nhưng framework lặng lẽ thêm các adapter cho tới khi trở thành web framework TypeScript dễ di động nhất trên thị trường. Cùng một code chạy trên:

• Cloudflare Workers
• Bun
• Deno
• Node.js
• AWS Lambda (API Gateway v1, v2, ALB, Lattice)
• Lambda@Edge
• Cloudflare Pages
• Netlify
• Fastly Compute
• Vercel Edge

v4.12.0 còn thêm getConnInfo() cho AWS Lambda, Cloudflare Pages và Netlify — nên metadata kết nối (địa chỉ IP cho rate limiting và logic geo) cũng hoạt động giống hệt ở mọi nơi.

Đây là đặc tính thật sự hiếm. Hầu hết framework được viết cho một runtime và cần adapter vụng về cho mọi thứ khác. Hono là một package duy nhất, không dependency, chỉ đơn giản expose một fetch handler — thứ mà mọi runtime hiện đại đều nói chuyện được một cách tự nhiên. Khi các team bắt đầu deploy lên edge và hỗ trợ nhiều nền tảng, Hono trở thành codebase duy nhất họ có thể viết một lần và chuyển đi bất cứ đâu. Đó là động lực chấp nhận khổng lồ: nó không phải “một framework nữa để học”, mà là “framework gỡ bỏ quyết định lock-in”.

Lý do 3: Vòng phản hồi của AI agents

Đây là phần giải thích đường gậy khúc côn cầu 2025→2026, và là lý do tôi chuyển backend của QuotyAI sang Bun + Hono ngay từ đầu (Tại sao tôi chọn Bun và Hono cho backend của QuotyAI).

Trong kỷ nguyên AI coding agents, đặc tính quan trọng nhất của một framework là thứ agent tạo ra. Tôi đã viết về điều này trước đây (Vibe Coding vs Open Source): phép tính build vs. install đã đảo ngược. Khi agent viết code của bạn, boilerplate không chỉ gây khó chịu — nó đắt đỏ, vì mỗi dòng agent tạo ra đều có khả năng sai một cách tinh vi, và bạn trả tiền cho việc dọn dẹp trong mọi trường hợp.

Hono về cơ bản là chống boilerplate:

const app = new Hono()

app.get('/hello', (c) => c.text('Hello!'))

app.post('/users', async (c) => {
  const user = await c.req.json()
  return c.json(user)
})

Không decorator. Không DTO classes. Không scaffolding modules, providers và controllers. Routes là các hàm. Validation ghép lại trong một hai dòng. AI agents tạo ra code sạch, biên dịch ngay lần đầu cho hình dạng này — theo ước tính của tôi là ít boilerplate hơn 30–50% so với NestJS hoặc .NET cho cùng một endpoint (Hono + Bun cho nền tảng AI: 6 pattern sản phẩm đáng học hỏi).

Giờ hãy nhân con số đó với số lượng developer đang vibe-coding trong 2026. Mỗi người yêu cầu agent xây một API, agent với lấy Hono vì nó nhỏ và dễ đoán — và tuần sau lượt tải của Hono lại tăng. Framework không chỉ trở nên phổ biến với con người. Nó trở nên phổ biến với những cỗ máy tạo code ở quy mô lớn. Đó chính là hiệu ứng cộng dồn hiện trên biểu đồ.

Lý do 4: Type safety mà không cần nghi thức

Thủ thuật thứ hai của Hono là mang lại type safety đầu cuối mà không ép buộc kiến trúc nào lên bạn. Release notes cho thấy điều này trưởng thành đều đặn:

• v4.11.0 — client hc() trả về các URL được gõ chính xác; kiểu NotFoundResponse tùy biến được.
• v4.12.0 — $path() cho RPC client; ApplyGlobalResponse để type của client cho mọi route biết về các response lỗi toàn cục của bạn.
• v4.12.x — chuỗi dài các bản sửa inference type để middleware chains, validators và overloads app.on() suy ra đúng kiểu response.

Trên thực tế: định nghĩa một route bằng Zod — và client sinh ra từ kiểu của app biết chính xác endpoint đó trả về gì, cả thành công lẫn lỗi. Đó là loại đảm bảo từng cần một framework nặng nề. Hono mang nó tới cho bạn trong một package 14KB, không một dependency. Với solo founders và đội nhóm nhỏ muốn sự an toàn mà không cần scaffolding doanh nghiệp, đó là điểm ngọt — và chính là lý do stack của QuotyAI dùng typed context của Hono qua 30+ nhóm route (Hono + Bun cho nền tảng AI).

Lý do 5: Làn sóng gia cố bảo mật là cột mốc của sự chấp nhận đại trà

Khi đọc các release, một pattern nổi bật: cụm dày đặc các bản phát hành bảo mật bắt đầu khoảng tháng 1/2026.

• v4.11.4 — nhầm lẫn thuật toán JWT (cả JWT và JWK/JWKS giờ bắt buộc alg tường minh thay vì tin vào header).
• v4.11.7 — bốn CVE: bypass kiểm tra IPv4 trong IP Restriction, cache các response Cache-Control: private, đọc key serve-static trên Workers, XSS trong ErrorBoundary.
• v4.12.4 / v4.12.16 / v4.12.18 / v4.12.21 / v4.12.25 / v4.12.27 / v4.12.34 — injection field SSE, injection attribute cookie, bypass body-limit, path traversal trong serve-static, rò rỉ cache giữa các user, lộ dữ liệu giữa các request trong SSR qua memo(), ReDoS trong CORS và language middleware cùng nhiều thứ khác.

Một trận lũ advisory bảo mật nghe có vẻ tệ. Thực ra đó là bằng chứng rõ ràng nhất cho cột mốc Hono đạt được: đủ nhiều người chạy nó đến mức nó đáng để tấn công. Phản ứng lành mạnh chính xác là những gì đã xảy ra — sửa nhanh, công bố advisory, và các mặc định ưu tiên cấu hình tường minh hơn là “chạy được nhưng nguy hiểm”. Mỗi release như vậy cũng ép một làn sóng npm install hono mới từ những ai theo dõi cập nhật bảo mật. Đó là vòng lặp củng cố sự chấp nhận.

Lý do 6: Nó lớn hơn cả ‘web framework’

Hono bắt đầu là một router. Các release cho thấy nó âm thầm trở thành một nền tảng full-stack:

• hono/jsx giờ bám sát hành vi React 19 — useRef, cô lập context theo request, an toàn SSR.
• v4.12.0 thêm SSG plugin redirectPlugin sinh các trang HTML redirect tĩnh.
• Tạo static site, middleware cho caching, rate limiting, secure headers, phát hiện ngôn ngữ, CSRF — danh mục middleware tích hợp sẵn liên tục lớn lên.

Điều đó nghĩa là Hono cạnh tranh cho những workload từng hướng tới một application framework đầy đủ hoặc static site generator. Với các deploy lên edge — một worker phục vụ cả site và API từ cùng một code — Hono giờ là lựa chọn duy nhất đáng tin cậy. Càng nhiều workload nó xử lý được, càng nhiều nơi nó bị kéo vào.

Cỗ máy release

Đếm các release từ tháng 11/2025 đến tháng 8/2026: khoảng năm mươi, bao gồm v4.13.0 ngày 3 tháng 8 năm 2026 — đúng tuần con số 57,5 triệu được ghi nhận. Đội ngũ maintainer release liên tục, với founder (yusukebe) là contributor sung sức nhất và một nhóm contributor lần đầu đang lớn dần xuất hiện trong hầu hết mọi release.

Release đều đặn, nhàm chán, dễ đoán quan trọng hơn bất kỳ tính năng đơn lẻ nào. Một framework sửa bug trong vài ngày và thêm tính năng vài tuần một lần xây dựng lòng tin nhanh hơn framework im lặng nhiều tháng. Và với AI agents, một framework có tài liệu mới và changelog sạch tạo ra code tốt hơn. Nhịp điệu cộng dồn.

Lời thú nhận thành thật: downloads ≠ người dùng

Tôi cần cẩn thận ở đây, vì tôi không muốn bán phét một vanity metric.

Số lượt tải npm bao gồm CI pipelines (mỗi lần chạy test đều cài lại), bot và mirror, và — quan trọng nhất — các dependency gián tiếp. Chính hệ sinh thái của Hono khuếch đại điều này: các package như @hono/zod-validator, hono-openapi, middleware @hono/*, và bất kỳ dự án nào bundle chúng đều phụ thuộc vào chính hono. Một developer cài một middleware package có thể được đếm vài lần vào tổng.

Nên cách đọc đúng là: con số là một giới hạn dưới mạnh và một chỉ báo hướng đi, không phải số người dùng chính xác. Khi một con số đi từ 1,5 triệu lên 57 triệu trong một năm, hướng đi là không thể nhầm lẫn dù hệ số có mờ nhạt. Sự tăng trưởng dốc thật sự như vậy không xảy ra một cách tình cờ.

Đường cong thực sự có ý nghĩa gì

Ghép mọi thứ lại và câu chuyện tự viết ra:

Hono đã thắng cuộc đua trở thành server TypeScript nhanh nhất, nhỏ nhất, dễ di động nhất — và thắng đúng vào khoảnh khắc (a) edge/serverless trở thành mục tiêu deploy mặc định và (b) AI agents trở thành trình tạo code mặc định. Cả hai làn sóng đều tưởng thưởng cùng một đặc tính mà Hono xây dựng quanh nó: ít code hơn, chạy nhanh hơn, chạy được mọi nơi.

Đó là toàn bộ lời giải thích. Con số 57,5 triệu chỉ là bộ đếm lượt tải. Tín hiệu thực sự là Hono đã trở thành mặc định của những mặc định — thứ agents với lấy trước tiên, thứ các tutorial serverless bắt đầu bằng, thứ các team chuyển sang khi muốn ngừng nghĩ về HTTP framework của mình.

Tôi đã chuyển QuotyAI sang nó một năm trước vì những lý do tương tự. Thị trường có vẻ đã đồng ý với tôi.

Đọc Thêm

• Hono + Bun cho nền tảng AI: 6 pattern sản phẩm đáng học hỏi — 6 pattern sản xuất từ codebase Hono thực tế
• Tại sao tôi chọn Bun và Hono cho backend của QuotyAI — phân tích quyết định ban đầu
• Cách Tôi Vận Hành Một Startup AI Production Với $30/tháng — mặt triển khai của cùng stack
• Ngừng Hỏi Mô Hình Nào Thông Minh Nhất: Kỷ Nguyên ‘Đủ Tốt’ — các thành phần rẻ và đủ năng lực đang làm cho công việc AI liên tục trở nên thực tế

Câu Hỏi Thường Gặp

Tại sao lượt tải npm của Hono tăng từ 1,5 triệu lên gần 60 triệu mỗi tuần? Sự kết hợp của nhiều yếu tố: Hono đặt hiệu năng lên hàng đầu (v4.12.0 làm TrieRouter nhanh hơn 1,5–2 lần, v4.13.0 tăng tốc đường core thêm 1,25 lần), chạy nguyên vẹn trên Bun, Deno, Cloudflare Workers, Node.js, AWS Lambda và nhiều runtime khác, và trở thành framework mà AI coding agents tạo ra code sạch nhất — nên kỷ nguyên AI agents kéo Hono vào hàng nghìn dự án mới. Nhịp release liên tục (~50 release trong 10 tháng) và làn sóng gia cố bảo mật cũng báo hiệu và thúc đẩy sự chấp nhận rộng rãi.

Con số lượt tải npm có nghĩa là mức độ sử dụng thực tế không? Không trực tiếp. Lượt tải npm bao gồm CI pipelines, bot, mirror và các dependency gián tiếp — hệ sinh thái @hono/* và các package như hono-openapi đều phụ thuộc vào hono, nên một lần cài middleware sẽ đếm thêm nhiều lần vào tổng. Hãy coi con số này là chỉ báo xu hướng mạnh và giới hạn dưới của sự quan tâm, không phải số người dùng chính xác.

Đường cong tăng trưởng nói gì về hệ sinh thái? Hình dạng quan trọng hơn tổng số. Hono giữ quanh mức 1,5–2 triệu lượt tải hàng tuần cho tới giữa 2025, rồi tăng gấp ba vào tháng 1/2026, sau đó tiếp tục leo qua 27 triệu, 44 triệu và 57 triệu mỗi tuần. Đường gậy khúc côn cầu đó khớp với làn sóng edge/serverless và kỷ nguyên AI agents, khi một TypeScript framework nhanh, dễ di động và không có nghi thức dư thừa trở thành mặc định cho việc tạo ra API mới.

Tại sao Hono trở thành framework mặc định cho AI coding agents? Hono gần như không có nghi thức: routes, validation và OpenAPI trong vài dòng, không decorator, không DTO classes. AI agents viết ít boilerplate hơn 30–50% cho Hono so với NestJS hoặc .NET, và code chúng tạo ra biên dịch ngay lần đầu vì các pattern nhỏ gọn và nhất quán. Khi việc sửa output của agent tốn kém, framework giảm thiểu boilerplate sẽ thắng theo mặc định.

Làn sóng sửa lỗi bảo mật trong các release gần đây của Hono có phải dấu hiệu xấu? Không — đó là dấu hiệu của sự chấp nhận rộng rãi. Khi một framework vượt qua một quy mô nhất định, nó trở thành mục tiêu hấp dẫn, và phản ứng lành mạnh là sửa nhanh. Hono đã phát hành các bản sửa bảo mật trọng điểm (nhầm lẫn thuật toán JWT, phản chiếu origin trong CORS, path traversal trong serve-static, rò rỉ cache, ReDoS) — đội ngũ core xuất bản advisory và yêu cầu cấu hình tường minh thay vì các mặc định rủi ro.

Tags: hono npm typescript serverless edge-computing cloudflare-workers bun ai-agents open-source web-framework