Playwright JUnit Reporter中Proxy依赖无法升级问题求助

手动修改package-lock.json的风险 #

• 依赖兼容性问题：@xray-app/playwright-junit-reporter可能明确依赖proxy@1.0.2的特定API，强行修改版本后，该包可能出现运行时错误，比如函数调用失败、参数不匹配等。
• 锁文件失效：npm会校验package-lock.json的哈希值，手动修改后，后续执行npm install时，npm可能重新生成锁文件，覆盖你的修改，甚至触发异常提示。
• 嵌套依赖混乱：修改子依赖版本时，若未同步更新它的嵌套依赖，可能引发更深层的版本冲突，甚至引入新的漏洞。

可行的解决办法 #

1. 使用npm overrides强制指定版本（推荐） #

npm 8.3及以上版本支持overrides字段，可以强制让特定包的子依赖使用指定版本。在项目根目录的package.json中添加：

"overrides": {
  "@xray-app/playwright-junit-reporter": {
    "proxy": "^2.2.0"
  }
}

执行npm install后，npm会自动更新package-lock.json，强制@xray-app/playwright-junit-reporter使用proxy@2.2.0，同时复用根目录已安装的版本。

2. 向包作者提交更新请求 #

在@xray-app/playwright-junit-reporter的仓库提交Issue或Pull Request，要求作者将proxy依赖升级到2.2.0，从根源解决子依赖的版本问题。

3. 尝试npm dedupe优化依赖树 #

执行npm dedupe，让npm尝试优化依赖树，将根目录已安装的proxy@2.2.0复用给子依赖。但此方法仅在子依赖的版本范围兼容2.2.0时生效，如果子依赖是硬依赖1.0.2，则无法生效。

4. 临时忽略漏洞（不推荐） #

若确认proxy@2.2.0与@xray-app/playwright-junit-reporter兼容，且暂时无法通过其他方式解决，可以在GitLab CI的漏洞检测配置中添加忽略规则。但这只是权宜之计，会保留安全风险，不建议长期使用。

内容的提问来源于stack exchange，提问作者JDpan