node.js - GitHub 检测到依赖项中的漏洞，但我运行了 npm update 但依赖项没有更新？

Question

在推送到 GitHub 时，我收到了这条消息:

GitHub found 1 vulnerability on username/projectname's default branch (1 moderate).

查看了Github上的项目，发现需要将Sequelize更新到5.3.0。在本地，我运行了 npm update 并更新了我的另一个包，但 Sequelize 没有更新。

我提交，然后再次推送到 Github，并收到相同的漏洞警告。我检查了 package.json，它在依赖项下显示了以下内容:

"sequelize": "^4.43.1"

我需要做些什么来更新 Sequelize？或者至少解决这个警告？

Answer 1

npm update尊重caret dependency restrictions在 package.json 中。您正在请求版本 "^4.43.1"，meaning the latest version available without updating the leftmost nonzero digit . sequelize 的最新 4.x.y 版本是 4.43.1。

在 package.json 中更新其主要版本，例如到 ^5.3.0 因为这就是你所需要的，然后再次运行 npm update。这应该为您提供主要版本 5(撰写本文时为 5.3.5)的最新版本。它还会同时更新您的 package.json 和 package-lock.json。