node.js - Gulp安装警告: "Please update to minimatch 3.0.2"

Question

我是 npm 和 node.js 的新手，在安装了 Windows 版的 node.js、npm 和 git 之后，我正在尝试设置我的工作环境。我正在尝试全局安装 gulp 并将其作为开发依赖项。我两次都收到这些警告:

npm WARN deprecated minimatch@2.0.10: Please update to minimatch 3.0.2 or higher to avoid a RegExp DoS issue
npm WARN deprecated minimatch@0.2.14: Please update to minimatch 3.0.2 or higher to avoid a RegExp DoS issue

这导致 npm 取消安装。我正在运行 minimatch 3.0.2

C:\WINDOWS\system32>npm -v minimatch
3.10.10

但是 npm 仍然无法将其识别为已安装的版本，因为它不断推送警告。知道如何解决这个问题吗？

感谢任何帮助。

Answer 1

遇到同样的问题并在网上搜索了一下，我想在这里记录我的解释以供将来引用。

问题不是您安装的 minimatch 版本太低或过时。当显示这些警告时，npm 也不应该中止安装。

gulp 间接依赖于过时版本的 minimatch，可以使用 npm ls -g minimatch 进行验证(如果您本地安装了 gulp，请忽略 -g)。输出的一部分应如下所示:

+-- gulp@3.9.1
| `-- vinyl-fs@0.3.14
|   +-- glob-stream@3.1.18
|   | +-- glob@4.5.3
|   | | `-- minimatch@2.0.10  deduped
|   | `-- minimatch@2.0.10
|   `-- glob-watcher@0.0.6
|     `-- gaze@0.5.2
|       `-- globule@0.1.0
|         +-- glob@3.1.21
|         | `-- minimatch@0.2.14  deduped
|         `-- minimatch@0.2.14

这段摘录解释了 gulp 3.9.1 依赖于vinyl-fs 0.3.14，而后者又依赖于 glob-stream 3.1.18 等等。您可以看到一些嵌套依赖项依赖于 minimatch 2.0.10，其他依赖项依赖于 minimatch 0.2.14，这正是 npm 在安装过程中提示的版本。

您可能无法独自解决此问题。您可以做的就是联系具有过时依赖项(在本例中为 glob、glob-stream 和 globule)的软件包的作者，并要求他们将其依赖项更新到较新的版本(或者自己动手并提交拉取请求，如果这些软件包是开源的)。

尽管有很多人积极使用和依赖 gulp，但鉴于尚未有更新来解决此问题，这些警告很可能不会产生任何负面后果。