新React项目npm audit结果能否忽略？该如何处理？

这些漏洞是否可以忽略？ #

可以暂时忽略，原因如下：

• 检测出的nth-check和postcss漏洞都是react-scripts的间接依赖，而create-react-app在构建、开发流程中对这些依赖的使用场景，不存在被恶意利用的风险：
  • nth-check的低效正则问题，仅在解析恶意构造的CSS选择器时才会触发性能问题，常规项目中不会出现这类场景；
  • postcss的换行解析错误，也不会影响常规项目的样式构建和运行。
• npm audit给出的修复建议（降级react-scripts到3.0.1）完全不可行——react-scripts 3.x版本不兼容React 18，降级会导致项目核心功能崩溃，属于典型的npm audit未考虑依赖链兼容性的误判。

正确的处理步骤 #

1. 恢复被npm audit fix --force破坏的依赖结构 #

• 删除package.json中被强制添加/修改的babel相关依赖（比如@babel/plugin-proposal-private-methods这类你没手动安装过的包）；
• 删除node_modules文件夹和package-lock.json文件；
• 重新执行npm install，恢复到create-react-app初始化的原始依赖状态。

2. 手动修复漏洞（可选，非必须） #

如果想要彻底消除npm audit的漏洞提示，无需降级react-scripts，可以用npm的overrides功能强制升级有漏洞的间接依赖：

• 在package.json中添加以下配置：

  "overrides": {
    "nth-check": "^2.0.1",
    "postcss": "^8.4.31"
  }
  

• 执行npm install，npm会强制让react-scripts使用修复后的依赖版本，同时保持react-scripts和React 18的兼容性。

3. 后续注意事项 #

• 永远不要使用npm audit fix --force处理create-react-app项目——这个命令会强制修改依赖链，很容易导致依赖不兼容，出现废弃警告或运行错误；
• 关注react-scripts的官方更新，官方会在后续版本中自动升级这些有漏洞的间接依赖，届时只需升级react-scripts即可（执行npm update react-scripts）。

内容的提问来源于stack exchange，提问作者Stacey