reactjs - 安装 react 脚本时的漏洞

Question

当我安装 react-scripts 时，我遇到了 58 个漏洞(16 个中等，40 个高，2 个严重)

我的设置是:

• Linux Debian 10
• Node.js v14.18.1
• Npm 8.1.0
• react 17.0.2
• react 脚本 4.0.3

弃用的软件包:

• 压平@1.0.3，
• @hapi/topo@3.1.6,
• @hapi/bourne@1.3.2,
• urix@0.1.0,
• resolve-url@0.2.1,
• querystring@0.2.1
• sane@4.1.0,
• chokidar@2.1.8,
• querystring@0.2.0,
• babel-eslint@10.1.0
• hapi/address@2.1.4,
• rollup-plugin-babel@4.4.0,
• uuid@3.4.0
• hapi/joi@15.1.1,
• svgo@1.3.2,
• 核心js@2.6.12

请帮忙!

Answer 1

如果您正在安装最新版本的 react-scripts，这不太可能成为问题。

你应该考虑将 react-scripts 从 dependencies 移动到你的包中的 devDependencies ，如果它不存在并运行 npm audit --production 而不是 npm audit。基本上，开发依赖项中存在“漏洞”很可能不是问题，因为它们无法被利用。

create-react-app 仓库上的这个问题有详细解释: https://github.com/facebook/create-react-app/issues/11174

同一作者的这篇文章在更一般的上下文中解释了 npm audit 的问题: https://overreacted.io/npm-audit-broken-by-design/