npm - 当 npm 审计不执行任何操作时，如何修复 React-scripts v2.1.5 的 npm 包大括号问题？

Question

我的 React 客户端文件夹中的 NPM 包给了我 63 个低漏洞，这些漏洞全部涉及大括号包，主要位于版本 2.1.5 的 React-scripts 包的 jest 文件夹中。 NPM 审核修复不起作用，我该怎么办？

我尝试降级到以前版本的react-scripts，通过更新package.json、删除包锁、再次运行npm install或运行npm update大括号来更新大括号，但2小时后没有任何效果的摆弄。我还尝试在 Github package.json 运行时恢复到以前的版本。我相信在我尝试下载 firebase-ui 后它就停止工作了，但我认为这与更新软件包有关，因为我已经多次删除了节点模块和 npm 安装。

这是我干净的 package.json 搞乱的内容。

"webpack-dev-server": "3.1.14",
"@babel/core": "*",
"axios": "*",
"body-parser": "*",
"bootstrap": "*",
"cors": "*",
"dotenv": "*",
"draft-js": "*",
"draft-js-export-html": "*",
"errorhandler": "*",
"express": "*",
"express-session": "*",
"history": "*",
"jquery": "*",
"moment": "*",
"mongoose": "*",
"morgan": "*",
"node-sass-chokidar": "*",
"npm-run-all": "*",
"path": "*",
"query-string": "*",
"react": "*",
"react-dom": "*",
"react-loadable": "*",
"react-redux": "*",
"react-router-dom": "*",
"react-router-redux": "*",
"react-scripts": "*",
"react-validation": "*",
"reactstrap": "*",
"recharts": "*",
"redux": "*",
"redux-logger": "*",
"redux-observable": "*",
"redux-thunk": "*",
"rxjs": "*",
"rxjs-compat": "*",
"validator": "*"

这是我遇到的问题:

低正则表达式拒绝服务

封装大括号

react-scripts 的依赖

路径react-scripts > jest > jest-cli > micromatch > 大括号

更多信息https://nodesecurity.io/advisories/786

Answer 1

我运行了npm install braces@2.3.1，然后运行了npm update

这仍然导致了 63 个漏洞，但它确实让我支持了当前版本。因此，我检查了 package-lock.json 中 braces 的所有引用并将其更新为 2.3.2。然后我再次运行 npm update ，当我运行 npmaudit 时，漏洞就消失了。