yarn audit实战指南：从零开始排查并修复依赖安全漏洞
UX-佳润先看效果，再看代码
最近在做一个项目时，突然意识到安全性问题越来越重要。以前总是觉得依赖包的版本控制不是什么大问题，但这次真的被坑了。于是，我开始研究 yarn audit 这个命令，发现它真的很好用。
首先，我们来看一下 yarn audit 的基本用法：
yarn audit这个命令会检查你当前项目的依赖包，查找已知的安全漏洞，并给出建议的修复方案。亲测有效，真的能帮你发现一些潜在的问题。
多种用法和场景
其实 yarn audit 不仅可以简单地运行一次，还有很多其他的用法和场景。下面我会展示几种常用的用法，附带完整代码。
1. 基本用法：检查并显示报告
最简单的用法就是直接运行 yarn audit，它会在终端中显示一个详细的报告，列出所有存在安全漏洞的依赖包及其修复建议。
yarn audit这个报告通常会包含以下信息：
- 受影响的依赖包名称
- 安全漏洞的描述
- 推荐的修复版本
- 修复命令
2. 自动修复依赖包
如果你不想手动去修复每个依赖包，可以使用 yarn audit --fix 命令自动修复一些常见的安全漏洞。
yarn audit --fix这个命令会尝试将受影响的依赖包升级到推荐的安全版本。不过这里注意下，我踩过坑，有时候自动修复可能会导致一些兼容性问题，所以建议你在自动修复后，一定要手动测试一下应用是否正常运行。
3. 定期检查依赖包
对于一些大型项目，定期检查依赖包的安全性是非常重要的。你可以通过设置定时任务来定期运行 yarn audit，比如使用 cron 任务。
# 每天凌晨 2 点运行 yarn audit 并发送邮件报告
0 2 * * * yarn audit > /path/to/audit_report.txt && cat /path/to/audit_report.txt | mail -s "Yarn Audit Report" your-email@example.com这样，你每天早上都能收到一份最新的安全报告，及时发现并修复问题。
踩坑提醒：这三点一定注意
在使用 yarn audit 的过程中，我也踩了不少坑，下面分享几点需要注意的地方。
1. 自动修复可能带来的问题
前面提到的 yarn audit --fix 命令虽然很方便，但有时候也会带来一些意想不到的问题。比如，某些依赖包可能依赖于特定版本的其他包，自动升级可能会导致这些依赖关系失效。所以，建议你在自动修复后，一定要手动测试一下应用的功能。
22. 版本冲突
有时候，yarn audit 会建议你升级某个依赖包到一个新版本，但这个新版本可能与你的其他依赖包不兼容。这时候，你需要仔细检查依赖关系，确保升级不会导致其他问题。
你可以使用 yarn why 命令来查看某个包的依赖关系，帮助你更好地理解升级的影响。
yarn why package-name3. 误报和忽略
有时候 yarn audit 可能会误报一些安全漏洞，或者有些漏洞对你来说并不重要。你可以使用 --ignore 选项来忽略某些漏洞。
yarn audit --ignore "package-name@version"这个命令会忽略指定的漏洞，并在报告中不再显示。但是，这里建议你谨慎使用这个功能，不要随意忽略真正存在的安全问题。
高级技巧：自定义审计策略
除了基本的用法和注意事项，还有一些高级技巧可以帮助你更好地管理和审计依赖包的安全性。
1. 使用 .npmrc 文件配置
你可以通过配置 .npmrc 文件来自定义 yarn audit 的行为。例如，你可以设置一个全局的忽略规则，或者指定一个自定义的审计源。
// 配置全局忽略规则
audit-ignore = package-name@version
// 指定自定义审计源
audit-registry = https://custom-audit-registry.com这样，你就可以更灵活地管理你的依赖包审计策略。
2. 集成到 CI/CD 流程
将 yarn audit 集成到持续集成（CI）流程中，可以在每次构建时自动检查依赖包的安全性。这对于大型项目非常有用，可以确保每次部署前都进行安全检查。
以 GitHub Actions 为例，你可以在 .github/workflows/ci.yml 文件中添加以下内容：
name: CI
on: [push, pull_request]
jobs:
build:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v2
- name: Install dependencies
run: yarn install
- name: Run audit
run: yarn audit --groups dependencies这样，每次推送代码或发起 Pull Request 时，都会自动运行 yarn audit，确保依赖包的安全性。
总结
以上是我个人对 yarn audit 的完整讲解，希望对你有帮助。这个工具真的非常好用，能帮你发现和修复很多潜在的安全问题。不过，也要注意一些坑点和注意事项，避免引入新的问题。
这个技术的拓展用法还有很多，后续会继续分享这类博客。如果你有更好的实现方式或遇到其他问题，欢迎在评论区交流。
