使用SKIP_FLIGHT_CHECK=true与openssl-legacy-provider启动React项目是否安全？

1. npm install --legacy-peer-deps的风险 #

• 这个参数本质是让npm无视peer依赖的版本冲突，强制安装旧版依赖。风险点很明确：
  • 你用的react 16.3.1、react-scripts 3.0.1这类旧版本早就停止维护了，里面的已知安全漏洞（比如XSS、依赖劫持）不会再被修复，相当于给攻击者留了现成的入口。
  • 依赖之间的隐性兼容性问题会被掩盖，虽然安装成功，但运行时可能出现诡异bug，甚至在特定场景下触发安全问题。

2. --openssl-legacy-provider的风险 #

• Node.js 18+默认用OpenSSL 3.0，加这个参数是强制切回旧版的OpenSSL 1.1.1提供程序。问题在于：
  • OpenSSL 1.1.1已经在2023年9月停止维护了，后续再爆出加密漏洞的话，根本不会有补丁，你的应用直接暴露在攻击风险里。
  • 旧版加密算法不符合当前安全标准，比如一些弱加密套件可能被黑客用来搞中间人攻击。

3. SKIP_FLIGHT_CHECK=true的风险 #

• 这个参数是跳过react-scripts的飞行检查，而飞行检查本来就是用来揪项目配置、依赖里的潜在问题（包括安全隐患）的。跳过之后：
  • 你会错过react-scripts给出的安全警告和配置错误提示，就算依赖里有高危漏洞，你也可能完全不知情。
  • 项目里的配置问题会被隐藏，后续运行时说不定哪天就触发安全漏洞或者功能崩溃。

总结建议 #

• 这些都是临时凑合用的方案，长期来看风险极高。优先推荐：
  • 逐步升级依赖：先把react-scripts升到支持Node.js 18的v5.x版本，再同步升级react到兼容的17.x或18.x，同时把其他依赖也更到安全版本。
  • 如果暂时没法升级，定期用npm audit扫依赖漏洞，手动修复高危问题。
  • 生产环境千万别用这些参数，尽量换回和旧依赖兼容的Node.js版本（比如Node.js 12或14）。

内容的提问来源于stack exchange，提问作者Alex Patel