reactjs - postcss 7.0.0 - 8.2.9 严重性 : moderate Regular Expression Denial of Service

Question

在 create-react-app 下创建新项目时，您会立即收到有关 postcss 中发现的漏洞的警告。 .
npm 报告的问题:https://www.npmjs.com/advisories/1693
相关的未决问题可以在这里找到:

https://github.com/postcss/postcss/issues/1574

https://github.com/facebook/create-react-app/issues/10945

该问题已在 postcss v8.2.10 上进行了修补，但在创建新项目时仍然存在 react-scripts还没有升级依赖项。
所以，我的问题是我无法再运行构建，因为它们由于漏洞而失败。
由于我迫不及待地等待他们修补它以继续处理我的东西(他们似乎从一年前就意识到了这一点)，是否有一些解决方法可以用来解决它？
我尝试添加 postcss决议 package.json :

  "resolutions": {
    "postcss": "^8.2.10"
  },

但这并没有让我失望。
任何的想法？

Answer 1

这篇文章帮助了我。
https://www.npmjs.com/package/npm-force-resolutions .
要使用您编写的分辨率，您应该通过在 package.json 中添加此脚本来强制使用它们。

"scripts": {
  "preinstall": "npx npm-force-resolutions"
}

在那之后运行 npm install它应该覆盖所有嵌套的依赖项
无论如何，由于许多依赖关系，它不会起作用。好消息是对 postcss 8 的支持已经合并，可能很快就会发布 https://github.com/facebook/create-react-app/issues/9664