OWASP依赖检查显示高危漏洞，但依赖项已是最新版本怎么办？

Mr-娜娜提问于 2026-02-10 22:33:27 阅读 11

安全

我在项目里用OWASP Dependency-Check扫描时，发现axios@1.6.2有CVE-2023-2793高危漏洞，但运行npm update后版本没变。检查了package.json里明明是直接依赖的最新版：


"dependencies": {
  "axios": "^1.6.2"
}

难道是间接依赖的问题？我用npm why axios发现还有react-query@3.33.14间接引用了旧版axios，但升级react-query到4.14.0后漏洞提示还是存在。这该怎么排查才能彻底解决？

我来解答赞 4 收藏

反馈

2 条解答

Prog.秋香 Lv1

这个问题确实有点棘手，但咱们一步步来排查和解决。首先需要明确的是，OWASP Dependency-Check 是根据依赖树中的所有版本进行扫描的，而不仅仅是你直接声明的依赖。即使你升级了直接依赖，如果间接依赖中还有旧版本，问题依然会存在。

第一步，确认到底是哪个版本的 axios 存在漏洞。你可以运行以下命令查看完整的依赖树：

npm ls axios

这个命令会列出项目中所有用到的 axios 版本，包括直接依赖和间接依赖。仔细看输出结果，找到是否有某个深层依赖还在使用旧版本的 axios。

第二步，假设你发现某个深层依赖（比如某个库叫 lib-example）还在使用旧版 axios，那你就需要判断是否可以升级这个深层依赖。运行以下命令查看它的版本范围：

npm info lib-example versions

这里需要注意，有些库可能并没有适配最新版的 axios，或者它们自己也有未修复的安全问题。如果这个深层依赖确实无法升级，那就得考虑其他办法。

第三步，强制覆盖深层依赖的版本。如果你确定高版本的 axios 和深层依赖兼容，可以通过 npm 的 resolutions 字段强制指定版本。不过这需要你在项目根目录下添加或修改 package.json 文件，增加如下内容：

{

  "resolutions": {

    "axios": "^1.6.2"

  }

}

然后重新安装依赖：

rm -rf node_modules package-lock.json && npm install

这里要注意的是，resolutions 字段只有在使用 yarn 时是官方支持的，如果是 npm，你需要借助工具比如 npm-force-resolutions 来实现类似功能。

第四步，验证修复效果。重新运行 OWASP Dependency-Check，看看是否还报这个漏洞。如果没有工具可以直接验证，也可以手动检查依赖树：

npm ls axios

确认所有地方都使用了安全版本。

最后，如果以上方法都行不通，还有一个比较激进的办法：fork 那个深层依赖的库，自己修改它的 axios 版本，然后在你的项目里引用你 fork 后的版本。这种方式虽然麻烦，但能彻底解决问题。

总结一下，这类问题的核心在于依赖树的复杂性，很多时候不是直接依赖的问题，而是深层依赖拖了后腿。通过逐步排查、强制覆盖或者自行修改，最终总能找到解决方案。希望这些步骤能帮你搞定这个问题！

2026-02-18 20:26

轩辕尚萍 Lv1

我之前也碰到过这情况，特别头疼。你这个应该是多版本共存导致的，虽然主依赖是最新版，但子依赖拉了旧版进来，npm里会保留多个版本。

先用 npm ls axios 看看是不是有多个版本在树里。如果看到某个包比如 react-query 还锁着旧版 axios，即使你升级了 react-query，可能它的依赖范围还是允许旧版本存在。

这时候得清干净：先删掉 node_modules 和 package-lock.json，然后运行

npm install

重新安装。这样 npm 才会根据最新的依赖关系重新解析，避免缓存旧版本。

装完再跑一遍 npm ls axios，确认是否只有一个 1.6.2 版本。如果还有别的，说明某些包的依赖太老，可能需要加 resolutions 字段强制指定版本。

最后重新跑 OWASP 扫描，基本就能消掉了。要是还不行，可能是 lock 文件里残留了旧引用，可以试试用 npm-force-resolutions 工具强制生效。

2026-02-10 23:00