从Git下载代码后npm install出现漏洞，修复无效求助

从Git下载项目压缩包，解压后用VS Code打开，执行npm install后控制台出现以下输出：

npm install

up to date, audited 1797 packages in 15s

120 packages are looking for funding
  run `npm fund` for details

132 vulnerabilities (1 low, 104 moderate, 23 high, 4 critical)

To address issues that do not require attention, run:
  npm audit fix

To address all issues (including breaking changes), run:
  npm audit fix --force

Run `npm audit` for details.

执行npm audit fix和npm audit fix --force后漏洞仍未解决。

以下是具体的解决步骤：

• 查看完整漏洞详情
  先执行npm audit获取详细的漏洞报告，明确每个漏洞对应的依赖包、漏洞等级以及是否存在可用修复版本。报告里会标注漏洞的依赖链路，帮你定位问题根源。

• 手动升级存在漏洞的依赖
  若自动修复失效，大概率是部分依赖没有兼容的修复版本，或是项目锁定了依赖版本：

  1. 根据npm audit结果，定位存在漏洞的包，比如xxx-package有高危漏洞，确认其最新安全版本。
  2. 执行npm install xxx-package@最新安全版本号手动升级，或直接用npm install xxx-package@latest升级到最新版。
  3. 升级后再次运行npm audit验证漏洞是否消除。

• 清理缓存后重新安装依赖
  缓存的旧依赖可能导致修复失效，按以下步骤操作：

  1. 删除node_modules文件夹：rm -rf node_modules（Windows系统用rmdir /s /q node_modules）
  2. 删除package-lock.json文件：rm package-lock.json（Windows系统用del package-lock.json）
  3. 清理npm缓存：npm cache clean --force
  4. 重新安装依赖：npm install
  5. 再次执行npm audit检查漏洞状态。

• 用工具强制修复深层依赖
  针对深层嵌套依赖的漏洞，可借助npm-force-resolutions强制升级：

  1. 在package.json中添加resolutions字段，指定需要修复的依赖版本：

     "resolutions": {
       "存在漏洞的依赖包名": "对应的安全版本号"
     }
     

  2. 在scripts中添加前置脚本：

     "scripts": {
       "preinstall": "npx npm-force-resolutions"
     }
     

  3. 重新执行npm install，工具会自动替换深层依赖的版本。

• 确认项目兼容性
  若强制升级依赖导致项目报错，需查看项目的README或CHANGELOG，确认项目支持的依赖版本范围。如果无法升级到安全版本，可考虑寻找替代依赖包，或向项目仓库提交issue请求维护者更新依赖。

内容的提问来源于stack exchange，提问作者bhargavi kotni