reactjs - 在yarn.lock中发现serialize-javascript漏洞

Question

我使用 npx create-react-app my-app 命令创建了一个 React 项目。然后我使用 npm start 测试了该项目。当我将项目提交到 Github 时，我会在项目页面中收到安全建议。

serialize-javascript vulnerability found in yarn.lock

**Remediation**

Upgrade serialize-javascript to version 2.1.1 or later. 

我的 package.json 文件中没有 serialize-javascript 依赖项。这是 Github 中的项目 - https://github.com/shankarps/ReactPracticeProject/

如何修复此错误？

如何确保项目创建时包含最新的依赖项？

Answer 1

这个 GitHub 问题对此进行了很好的讨论: https://github.com/yarnpkg/yarn/issues/4986

“仅仅为了解决安全问题而添加子部门 A 作为直接部门的解决方法更糟糕，因为它会造成困惑(不直接使用该包)以及维护负担。” - 库马尔303

正如其他几个人所建议的那样，向 package.json 文件添加分辨率字段可能更理想。“决议”:{ “序列化-javascript”:“^2.1.1” }