git - 如何正确更新 package-lock.json 文件中的 mem 包

Question

我正在运行 npm 版本 6.1.0 我的 package-lock.json 文件中有一个名为 mem 的包，它不是我的 package.json 文件的一部分。它的版本是 1.1.0。不幸的是 GitHub 不喜欢它。 Github 引用:

In nodejs-mem before version 4.0.0 there is a memory leak due to old results not being removed from the cache despite reaching maxAge. Exploitation of this can lead to exhaustion of memory and subsequent denial of service.

从终端更新此特定 mem 包的正确方法是什么，以便我的 package-lock.json 正确反射(reflect)它。

Answer 1

你必须小心，你的一些依赖项正在使用这个包。如果您更新mem手动一些依赖可能会被破坏。正如您指出的，GitHub 发现了一个漏洞，您可以尝试运行 npm audit fix (NPM 自动修复漏洞)。

GitHub also features automatic security patches

您还可以找出哪个包正在使用 mem通过运行npm ls mem 。然后通过npm update <package>更新顶级包

如果所有这些都没有帮助，我不建议手动更新。它所带来的破坏可能比它所修复的还要多。