reactjs - 由于漏洞需要人工审核，无法部署应用

Question

我想部署我的应用程序但是有 3 个漏洞我不知道如何解决它们。我用过 npm audit fix我还通过手动更新解决了一些漏洞。所以这是有人帮助我的手动审查:

  Manual Review
             Some vulnerabilities require your attention to resolve

          Visit https://go.npm.me/audit-guide for additional guidance


  Moderate        Regular Expression Denial of Service

  Package         browserslist

  Patched in      >=4.16.5

  Dependency of   react-scripts

  Path            react-scripts > react-dev-utils > browserslist

  More info       https://npmjs.com/advisories/1747


  Moderate        Regular expression denial of service

  Package         glob-parent

  Patched in      >=5.1.2

  Dependency of   react-scripts

  Path            react-scripts > webpack > watchpack > watchpack-chokidar2 >
                  chokidar > glob-parent

  More info       https://npmjs.com/advisories/1751


  Moderate        Regular expression denial of service

  Package         glob-parent

  Patched in      >=5.1.2

  Dependency of   react-scripts

  Path            react-scripts > webpack-dev-server > chokidar > glob-parent

  More info       https://npmjs.com/advisories/1751

found 3 moderate severity vulnerabilities in 2195 scanned packages
  3 vulnerabilities require manual review. See the full report for details.

Answer 1

answer here给出了很好的解释。
通常，您会按顺序尝试这些解决方案:

npm audit fix (听起来您已经这样做了)

npm audit fix --force

npm i react-scripts (带有vuln的包的父包)

npm i browserslist@4.16.5 glob-parent@5.1.2 (漏洞包本身)

但是，我们可以看到(在我写这篇文章的时候)问题没有在 react-dev-utils' package.json 中得到解决。 .此外， package.json 使用一个确切的版本(无脱字符)。 这两个事实意味着上面列出的这些解决方案都不起作用。
您有两个选择:

克隆 create-react-app repo , 自己修复版本并使用您的克隆版本而不是真实版本

等待 create-react-app 修复它，此时上述解决方案之一应该可以工作

我强烈建议后一种方法。