npm audit fix 未修复低漏洞

Question

我正在使用 nightmare 进行测试。运行 npm audit 后，我​​收到有关 lodash Prototype pollution 的警告。我尝试通过运行 npm audit fix 来修复此问题，但没有结果.之后我尝试使用 --force 但仍然得到:

fixed 0 of 1 vulnerability in 2108 scanned packages
  1 vulnerability required manual review and could not be updated

有什么办法可以解决吗？

截图如下:

Answer 1

npm 依赖项不会自动升级到更高的主要版本。因此，如果包 A 依赖于具有版本规范的包 B，例如:

// A/package.js
dependencies: {
  "B": "^2.1.3"
}

然后 npm 将使 B 保持最新的任何版本 2.x.y where x >= 1 and (y >= 3 if x == 1 or y > = 0 如果 x > 1)。

但是，如果安全修复发生在 B 版本 3.v.w 中，那么安全问题将保留在您的 npm 存储库中。

这里的问题是，为了能够使用版本 3.v.w，您可能必须更新 A，因为 2 和 3 之间很可能有重大更改(即函数名称更改或删除了对某个属性的支持。)

这是一个在 react-idle-timer 中进行重大更改的示例模块:

从 v3 迁移到 v4

版本 4 中有一些重大更改:

• 虽然仍然能够呈现子项，但从版本 4 开始，我们不会将子项传递给 IdleTimer。除非你真的很擅长 shouldComponentUpdate，否则你应该避免使用 IdleTimer 作为包装器组件。
• 属性 startOnLoad 已重命名为 startOnMount 以便在 React 上下文中更有意义。
• 属性 activeAction 已重命名为 onActive。
• 属性 idleAction 已重命名为 onIdle。