如何在Node.js中更新socks依赖以修复高安全漏洞？

问题本质 #

你的项目里，socks-proxy-agent@7.0.0间接依赖的socks@2.7.1存在SSRF漏洞，虽然socks@2.7.3已经修复了这个问题，但由于依赖范围的限制，常规的npm install和npm audit fix没法自动把所有实例都升级到安全版本。

具体解决方法 #

方法1：强制修复审计漏洞 #

npm已经明确提示可以用npm audit fix --force来安装socks@2.7.3——尽管它略超出socks-proxy-agent声明的依赖范围，但socks@2.7.3是2.x分支的小版本更新，属于兼容升级，不会影响现有功能：

npm audit fix --force

执行完后运行npm ls socks确认所有socks实例都升到2.7.3了。

方法2：用overrides强制锁定版本（npm 8.3及以上支持） #

这是最稳妥的方式，直接在package.json里指定整个依赖树中socks的版本为2.7.3，不管间接依赖声明的范围是什么：
在package.json中新增以下配置：

"overrides": {
  "socks": "2.7.3"
}

然后执行清理和重装：

rm -rf node_modules package-lock.json
npm install

之后再运行npm ls socks，就能看到所有依赖的socks都变成2.7.3了，npm audit也不会再报这个漏洞。

方法3：升级socks-proxy-agent到新版本 #

查一下socks-proxy-agent的最新版是否已经依赖了修复后的socks版本：

npm show socks-proxy-agent versions

如果最新版（比如8.x系列）已经要求socks@>=2.7.3，直接升级即可：

npm update socks-proxy-agent

升级完成后重装依赖验证效果。

验证修复结果 #

执行下面的命令确认漏洞已解决：

npm audit
npm ls socks

确保所有socks版本都是2.7.3，且没有高风险漏洞提示。

内容的提问来源于stack exchange，提问作者princekings