关于已停止支持的Angular版本的漏洞支持问询

官方支持政策说明 #

对于已经停止支持的Angular版本（比如你使用的14，不在LTS覆盖范围且过了官方支持周期），官方不会提供任何关键Bug修复或安全补丁，这也是你提交工单被驳回的核心原因——Angular团队的资源只会聚焦在当前受支持的版本上。

遇到此类情况的应对措施 #

• 先做漏洞影响验证：像这次CVE-2024-21490属于误报，先确认漏洞是否真的会影响你的业务场景，避免无意义的人力投入
• 自行定制补丁（迫不得已时）：如果漏洞真实存在且暂时无法升级，可以拉取对应版本的Angular源码，针对性修复漏洞后自行编译替换现有依赖，但后续要自行维护这个定制版本的兼容性
• 推进分阶段升级：单次跨大版本升级成本过高，不如制定分阶段计划，逐步迁移到当前受支持的LTS版本，比如先从14升到16，再过渡到最新LTS，每次升级只处理小范围的兼容性问题
• 优化漏洞扫描策略：和扫描工具团队（比如这次的CAST）沟通，添加误报过滤规则，避免类似无效告警反复干扰

内容的提问来源于stack exchange，提问作者Joel Richard