如何解决ws的DoS漏洞Dependabot告警？react-scripts依赖冲突问题

一、修复ws漏洞的核心方法 #

方法1：强制覆盖ws版本（无需升级react-scripts主版本） #

由于react-scripts@5.0.1间接依赖的jsdom@16.7.0限制了ws版本，但ws@8.x与该版本jsdom兼容，可通过包管理器的版本强制覆盖规则绕过限制：

• npm 用户：在package.json中添加overrides字段：

  "overrides": {
    "ws": "^8.17.1"
  }
  

• Yarn 用户：在package.json中添加resolutions字段：

  "resolutions": {
    "ws": "^8.17.1"
  }
  

添加后执行安装命令：

# npm
npm install

# Yarn
yarn install

方法2：升级react-scripts到v6版本（彻底重构依赖链） #

react-scripts v6已更新底层依赖，不再限制ws版本范围：

1. 卸载旧版本：

npm uninstall react-scripts
# 或 yarn remove react-scripts

2. 安装最新稳定版：

npm install react-scripts@latest
# 或 yarn add react-scripts@latest

注意：v6要求Node.js 16+，部分测试库可能需要同步适配，需运行测试验证兼容性。

二、升级所有依赖到最新版本 #

使用工具自动升级 #

• npm：先全局安装npm-check-updates，再执行升级：

npm install -g npm-check-updates
ncu -u
npm install

• Yarn：直接执行：

yarn upgrade --latest

三、验证修复效果 #

1. 执行npm ls ws或yarn list ws，确认ws版本为8.17.1及以上；
2. 运行npm test或yarn test，确保项目功能、测试用例正常；
3. 检查Dependabot告警状态，确认漏洞已修复。

内容的提问来源于stack exchange，提问作者Europa