npm - 你如何在 package-lock.json 中增加一个传递依赖

Question

我的项目依赖于 analytics-node ，它依赖于 axios: "^0.16.2" 。

我们已被 npm audit 标记为 axios 存在漏洞，但已在 0.18.1 中修复。

但是，analytics-node 没有依赖于 0.18.1 或更高版本的候选版本(仅测试版)。

我们已经尝试过:

npm audit fix ,

npm update axios --depth 2 ,

npm install axios@0.18.1

我最困惑的部分是为什么 npm 不允许我们覆盖 analytics-node 的 axios 版本，因为该版本应该兼容。

Answer 1

npm-force-resolutions 正是出于这个原因专门修复了传递依赖版本解析。

不过，如果有一种受支持的方式来使用 package-lock.json 来做到这一点会更好。