npm audit 报高危漏洞但没法升级依赖怎么办？
我跑 npm audit 发现有个高危漏洞，但提示的依赖是深层嵌套的，自己项目里根本没直接装，手动升级也没用。
试过 npm update 和删 node_modules 重装，还是报一样的问题。有没有办法强制解决或者忽略这个漏洞？
- 1
回答
8浏览
npm audit 报高危漏洞，但升级依赖后项目就报错怎么办？
我用 npm audit 扫描项目，发现 lodash 有个高危漏洞，提示要升级到 4.17.21 以上。可我升级完之后，页面直接白屏，控制台报错说某个方法 undefined。 之前用的是 4.17...
- 1
回答
12浏览
pnpm audit 报告高危漏洞但不知道怎么修复怎么办？
我用 pnpm 管理项目依赖，今天运行 pnpm audit 时发现好几个高危漏洞，但提示信息太模糊了，根本不知道该升级哪个包或者怎么处理。 比如它说某个间接依赖有原型污染问题，但我查了 packag...
- 2
回答
15浏览
pnpm audit 报告高危漏洞，但不知道怎么修复？
我用 pnpm 管理项目依赖，今天运行 pnpm audit 时提示有个高危漏洞，说是 axios 版本太低。但我明明在 package.json 里写的是 "axios": "^1.6.0"，也重新...
- 2
回答
38浏览
npm audit 报了高危漏洞，但补丁版本还没发，怎么办？
项目里用的 lodash 被 npm audit 标成高危漏洞，说是原型污染问题。可我查了官方仓库，最新版还是 4.17.21，根本没发安全补丁。 我已经试过手动升级到最新版，也清了缓存重装，但漏洞还...
- 2
回答
78浏览
npm audit显示高危漏洞但修复后依然存在怎么办？
我在开发一个Vue项目时，用npm audit发现有个高危漏洞（no-ssri@4.0.0），提示影响构建流程。试过运行npm audit fix和手动升级相关包，但漏洞还是没消失。项目用的是Vue ...
- 2
回答
111浏览
项目里 npm audit 报了 CVE 漏洞，但我不确定要不要升级依赖？
我跑 npm audit 时发现有个中危的 CVE（CVE-2023-XXXXX），影响的是一个间接依赖 lodash，但我的代码里根本没直接用它。升级主依赖可能会破坏现有功能，这到底该不该处理？ 这...
- 1
回答
28浏览
npm项目中如何快速修复依赖项的SCA高危漏洞？
我在做项目安全扫描时发现，用npm管理的依赖项中有三个高危漏洞，但直接运行npm update没效果。尝试过根据npm audit的建议手动升级具体包版本，但其中一个依赖被多个子模块同时引用，改到第三...
- 2
回答
45浏览
npm审计显示high漏洞但修复失败，该怎么排查？
最近用npm audit发现项目有个high级别的lodash漏洞，但运行npm audit fix后还是没解决。手动升级lodash到4.17.21版本，结果其他依赖报错不兼容，卡住了。 项目里有个...
- 2
回答
113浏览
yarn安装的依赖用npm start时报错找不到模块怎么办？
刚接手一个React项目，原作者用yarn安装了依赖，但我用npm start运行时提示"Module not found: Error: Can't resolve 'axios'"。项目里确实有a...
- 1
回答
2浏览
pnpm-lock.yaml 里有高危依赖，但项目里根本没用到，要怎么处理？
我用 GitHub Dependabot 扫描项目，发现 pnpm-lock.yaml 里有个依赖被标成高危漏洞，但我在 package.json 里完全没装这个包，应该是某个子依赖带进来的。现在 C...
方案1：用 resolutions 强制指定版本（yarn专属）
如果你用yarn，在package.json里加上这段：
然后删node_modules重装
方案2：npm的话可以手动忽略（有点暴力）
执行这个命令忽略特定漏洞：
如果是特别顽固的依赖链问题，可以试试
npm ls 包名查下具体依赖路径，然后去对应项目提issue。不过说真的，有时候这些漏洞在实际项目中根本不影响运行，审计报得有点过头了...