NuGet 周下载量悄悄破了 80 亿：.NET 这波增长，比我们自己预测的还猛

9月份的文章里，我说 NuGet 周下载量"有望在 2027 年上半年触及 80 亿"。结果一个月的时间——上周就到了。

一个被打脸的预测

9 月初我写过一篇半年总结，当时 NuGet 的周下载量是 67.1 亿。我在文末留了个判断：照这个斜率走下去，80 亿这个关口，大概 2027 年上半年能摸到。

前几天顺手打开 nuget.org/stats 看了一眼，最新的数字是：

周区间	周下载量
8/31 – 9/7	67.5 亿
9/7 – 9/14	69.7 亿
9/14 – 9/21	70.6 亿
9/21 – 9/28	72.8 亿
9/28 – 10/5	75.6 亿
10/5 – 10/12	80.2 亿

六个星期，从 67 亿一路爬到 80 亿，平均每周涨 3.6%。预测提前了差不多半年兑现，这种"打脸"我倒是挺乐意挨的。

回头看这条曲线：2019 年初，NuGet 的周下载量才 3 亿。七年时间，27 倍。说实话，当年做 .NET 的人里，没几个敢这么画。

榜单里的几个信号

总量之外，热门包榜单的变化更值得玩味。

Newtonsoft.Json 还是那个断层第一，最近统计周期 3.9 亿次下载，第二名 Serilog 是 2.18 亿。这个格局估计未来几年都不会变——企业选型就是这样，稳定压倒一切。

但有两个名字，值得单独拿出来说说。

一个是 OpenTelemetry。 半年前它第一次挤进 TOP10，我管那叫"黑马"。现在 OpenTelemetry.Api 已经涨到 8871 万次，带着它的 ProviderBuilderExtensions 一起稳稳站住了。黑马已经不是黑马了，是常态。说白了，可观测性这东西，在 .NET 云原生应用里已经不是"要不要装"的问题，而是"默认就装了"。

另一个是 microsoft.net.workloads.10.0.400。 这个 .NET 10 SDK 的工作负载包，半年前进版本榜的时候我就说过，这是 LTS 迁移最硬的证据。现在它已经冲到包级总榜第 4，1.06 亿次。一个工具链包能跟 Newtonsoft.Json 这种应用级包同框出现，只能说明一件事：换 .NET 10 的团队，是真的多。

一场已经打完的代际切换

客户端版本数据是观察工具链迁移最灵的指标，这次的数字挺有戏剧性。

9 月份的时候，NuGet 客户端 7.9 版本近六周下载量是 102 亿，当时已经是第一了。最新的数据里，这个数字变成了 236 亿——翻了一倍多。而上一代主力 7.6，从 96 亿缩到了 18 亿。

一进一退之间，.NET 10 工具链的铺开基本完成了。当然，6.x 系列（对应 .NET 8 LTS 存量）还有百亿级的下载，企业升级从来不是一刀切的事，这个"滞后带"会一直存在，属于正常现象。

放到包管理器的江湖里看

光看自己的曲线容易自嗨，还是得拉出来跟同行比比。

先说体量。npm 依然是无可争议的老大，注册表上躺着三四百万个包，年化下载请求量是万亿级的。PyPI 排第二梯队头部，73 万+个包，年下载量 3000 亿往上，AI 和数据科学这波红利它吃得最多。Maven Central 是 JVM 的世界，1600 多万个构件，每月下载量数十亿次，2025 年一年新增了 331 万个 release。

NuGet 呢？54.5 万个包，周下载 80 亿，论绝对体量，是四大仓库里最小的一个。

但换个角度看增速，故事就反过来了。同样是七年：

• NuGet：3 亿 → 80 亿，约 27 倍
• PyPI：约 6 倍
• npm：约 4 倍
• Maven：约 3 倍

体量最小，斜率最陡。而且这波增长的结构很清楚：不是靠开发者数量暴涨，而是"存量用户深度迁移 + AI 和云原生带来的新增量"。AI 相关包在 NuGet 上的下载占比，2024 年还只有 5% 左右，现在已经超过 15% 了。

顺带说一句，AI 这波不是 NuGet 独享的。Sonatype 今年的软件供应链报告统计，2025 年四大仓库合计下载量 9.8 万亿次——所有包管理器都在被 AI 智能体开发注水。npm 和 PyPI 上，光是 MCP SDK 相关的包，单周下载量就是几千万级，同比涨了快 10 倍。水涨船高，只是 NuGet 这条船升得更快点。

增长的另一面

下载量涨得欢，有组数字也得泼泼冷水：2025 年，四大仓库新增恶意包超过 45 万个，累计恶意包已经突破 123 万个。npm 是重灾区，PyPI 也没少挨。NuGet 体量小，本来不算主要目标，但今年也出现了针对中文 .NET 开发者的仿冒 UI 库投毒事件——人家已经开始盯上我们了。

包越下越多，依赖越拉越深，供应链安全这事儿，已经不是"大厂才需要操心"的范畴了。-lock 文件该提交提交，来源不明的包该查一查查一查。

下一个关口

80 亿提前半年达成，那下一个目标就大胆一点：周下载量 100 亿。

按现在每周 3% 左右的斜率，2027 年之内见到这个数，不是没可能。当然，.NET 10 LTS 的迁移红利总会吃完，后面能不能接上力，就看 AI 智能体 workloads 和可观测性这条栈能不能顶住。

七年 27 倍，这条路 .NET 走得比几乎所有人预期的都陡。下一个里程碑，我们到时候再看。

---

数据来源

1. 张善友《NuGet 半年度总结：周下载量从 54 亿到 67 亿，.NET 生态的"新一轮增长期"实锤了》
   https://www.cnblogs.com/shanyou/p/22865021
2. NuGet 官方统计页（周下载量、热门包、客户端版本，实时更新）
   https://www.nuget.org/stats
3. NuGet 包总数（54.5 万个包）
   https://www.nuget.org/packages
4. Mattias Karlsson《A quarter of a billion NuGet downloads》（NuGet 累计下载超 8950 亿、1100 万+包版本）
   https://www.devlead.se/posts/2026/2026-03-22-quarter-billion-nuget-downloads
5. Sonatype《2026 State of the Software Supply Chain》官方新闻稿（2025 年四大仓库合计下载 9.8 万亿次、新增恶意包 45.4 万个、累计 123.3 万个）
   https://www.sonatype.com/press-releases/sonatype-research-reveals-open-malware-grows-75-percent
6. Sonatype 2026 报告之 Maven Central 数据解读（2025 年新增 331 万个 release、10.5% 版本已 EOL、40% 漏洞版本为 CVSS 9.0+）
   https://stats.conversationalgeek.com/analysis/sonatype-2026-maven-central
7. piwheels 博客《PyPI stats 2026》（PyPI 现存 736,344 个包，较 2021 年增长 2.4 倍）
   https://blog.piwheels.org/2026/03/pypi-stats/
8. Shielded Stack《State of the Software Supply Chain 2026》汇总（npm 2025 年请求量 4.5 万亿、PyPI 5300 亿，源自 Sonatype 2026 报告）
   https://shieldedstack.com/state-of-the-software-supply-chain/
9. npm 包规模参考（约 320 万个包）
   https://www.buildmvpfast.com/blog/should-you-publish-to-jsr-vs-npm-2026
10. MCP / A2A 采用度统计（MCP TypeScript SDK 单周 npm 下载 7670 万次、同比 +990%，每日从官方 API 刷新）
    https://gravity.fast/data/mcp-adoption-statistics/

各家下载量统计口径不同（请求数 / 安装数 / 构件拉取数），横向对比看个量级就好，别当精确排名用。