Как исправить уязвимости в npm?
При установке пакетов всегда показывает уязвимости.
Я новичок в использовании React и столкнулся с некоторыми проблемами, связанными с npm. Не могли бы вы дать четкую инструкцию, как их исправить? Я не очень хорошо знаком с npm, поэтому буду благодарен за любую помощь.
Вам, вероятно, не следует. См. stackoverflow.com/questions/51377148/…
Я вижу, что выходные данные содержат некоторые инструкции по устранению уязвимостей. Я новичок в этом и не знаю, какие шаги предпринять. Должен ли я начать с «фонда npm», затем «исправления аудита npm» и, наконец, «исправления аудита npm --force»? Спасибо за помощь!
Если есть уязвимости, повлияют ли они на работу моего приложения? Должен ли я беспокоиться о том, что они повлияют на текущий процесс?
npm fund, нет, это «реклама» пакетов о том, что они хотели бы, чтобы ваше пожертвование было проявлением поддержки. Используйте npm audit fix, чтобы исправить то, что можно исправить. Не используйте флаг --force, так как при этом будет обновлено все, включая более новые версии с возможными/вероятными критическими изменениями. Я думаю, что большинство разработчиков «ослепли» на эти предупреждения, и, если пакет успешно установлен, вам, вероятно, можно приступать к работе.
@NSSWeerasinghe Это очень редко случается с внешними проектами, но когда они есть, они есть. См. связанный вопрос. Вы несете ответственность за различение реальных уязвимостей и тех, которые не могут сделать приложение уязвимым даже теоретически, включая учет способов их использования в вашем проекте.
Ответы 1
Сначала следует попробовать рекомендуемые действия по выходу. Всякий раз, когда вывод консоли говорит вам что-то сделать, вы должны это сделать.
Пытаться:
npm audit fix
и если это не сработает, попробуй
npm audit fix --force
Но помните, Bootstrap и React — это большие пакеты со множеством зависимостей. Если вы не работаете в крупной компании, которая заботится о безопасности данных, для вашего проекта ничего страшного, если все компоненты работают как положено.
Если вас беспокоят уязвимости, обратитесь к https://docs.npmjs.com/auditing-package-dependents-for-security-vulnerabilities для получения дополнительной информации об устранении уязвимостей.
В выводе содержатся некоторые инструкции по устранению уязвимостей. Что вы пробовали?