创建React应用时出现漏洞的修复方法及必要性咨询

这些漏洞是否必须修复？ #

不一定，得结合漏洞类型和实际影响判断：

• 若漏洞来自开发依赖（比如webpack、babel、eslint这类仅在开发阶段使用的工具），生产环境不会打包这类代码，实际风险极低，可暂时忽略。
• 若属于生产依赖的漏洞，且触发场景和你的业务逻辑匹配（比如存在XSS、代码执行风险），则必须修复。
• 可以通过npm audit查看完整漏洞报告，明确每个漏洞的触发条件和影响范围后再做决策。

解决方法 #

1. 回退到初始依赖状态 #

因为npm audit fix --force强制升级导致漏洞增多，先恢复到项目创建时的初始状态：

rm -rf node_modules package-lock.json
npm install

2. 升级create-react-app核心依赖 #

• 全局更新create-react-app，用最新版创建新项目：

  npm install -g create-react-app
  npx create-react-app my-new-app
  

• 现有项目可直接升级react-scripts（create-react-app的核心依赖，升级它会同步更新相关子依赖）：

  npm install react-scripts@latest
  

3. 手动针对性升级有漏洞的依赖 #

用npm audit查看每个漏洞对应的具体依赖包，找到该包的最新安全版本后手动升级：
比如发现lodash存在漏洞，执行：

npm install lodash@latest --save # 生产依赖加--save，开发依赖加--save-dev

4. 忽略开发依赖的漏洞（谨慎操作） #

如果确认漏洞仅存在于开发依赖且无实际风险，可在package.json中添加配置，让npm audit跳过开发依赖检查：

"audit": {
  "omit": ["devDependencies"]
}

内容的提问来源于stack exchange，提问作者Mike Radunski