node.js - GulpJS 3.9.1 在本地网络上使用安全吗？

Question

我已经使用 Gulp 一段时间了，最​​近我注意到在安装或更新软件包时出现安全警告。我运行审核并获得了大量信息，但我不确定这是否特别适用于生产服务器，或者是否也适用于本地服务器。

我也尝试过使用 gulp 4，看起来不错，但我只是对 3.9.1 版本感到好奇，因为仍然存在一些差异。

我想这个简短的问题是 gulp 3.9.1 在本地环境中可以安全使用还是会产生安全问题？

Answer 1

我想说这是安全的。以下是我对报告的漏洞的看法:

• minimatch 有 4 个正则表达式拒绝服务类型的高漏洞模块。这些大多与用户输入有关，Gulp 只是一个构建工具，我不知道它会受到什么影响

• lodash 的原型(prototype)污染类型的低漏洞模块。我不能肯定地说，但是如果您在构建中加载一些未知的外部模块，您可能会受到此影响，否则您会没事的。

无论如何，更新到 Gulp 4 应该可以消除所有疑虑。