npm - 如何在 npm 审核期间忽略包？

Question

我的 npm audit 报告显示 handsontable作为“没有可用的修复”。

我试图忽略 handsontable通过运行 npm audit --ignore handsontable 或 npm audit --ignore=handsontable

打包

它不是忽略包。

在 npm audit 和 npm audit fix 期间是否有任何标志可以忽略某些包

Answer 1

截至 2022 年 9 月 21 日，npm audit 有 2 种过滤漏洞的方法:

• audit-level - 设置 npm audit 以非零退出代码退出的最低漏洞级别。
• 省略 - 选择要从磁盘上的安装树中省略的依赖项类型 (dev/prod)。

你可以看到更多关于 npm audit flags here .

目前还没有办法忽略特定的漏洞。我相信 npm 很快就会有它，the discussion is still ongoing .

我推荐你使用 npm 包 better-npm-audit。友情链接 here .

您可以创建文件 .nsprc 并按 ID、CWE ID 或 GHSA ID 忽略漏洞，如下所示:

{
  "1337": {
    "active": true,
    "notes": "Ignored since we don't use xxx method",
    "expiry": 1615462134681
  },
  "4501": {
    "active": false,
    "notes": "Ignored since we don't use xxx method"
  },
  "CWE-471": "CWE ID is acceptable",
  "GHSA-ww39-953v-wcq6": "GHSA ID is acceptable",
  "https://npmjs.com/advisories/1213": "Full or partial URL is acceptable too"
}