使用react-scripts 5.0.1时PostCSS等依赖漏洞的解决问询

方案1：用npm overrides强制锁定安全版本（推荐） #

npm 8.3+支持overrides字段，可强制所有嵌套依赖使用指定的安全版本，无需降级react-scripts：

1. 在项目根目录的package.json中添加如下配置：

"overrides": {
  "nth-check": "^2.0.1",
  "postcss": "^8.4.31"
}

2. 执行npm install，npm会自动替换所有子依赖中的nth-check和postcss为指定版本。
3. 重新运行npm audit确认漏洞已修复。

方案2：切换到yarn使用resolutions #

若愿意改用yarn作为包管理器，可通过resolutions字段强制替换依赖版本：

1. 在package.json中添加：

"resolutions": {
  "nth-check": "^2.0.1",
  "postcss": "^8.4.31"
}

2. 执行yarn install完成依赖替换。

方案3：临时忽略特定漏洞（谨慎操作） #

若确认漏洞不影响项目运行（比如项目不涉及SVG处理、特定CSS选择器解析场景），可临时忽略：

• 运行npm audit --exclude=moderate,high跳过对应等级的漏洞检查；
• 或在package.json中添加"auditIgnore": ["<漏洞ID>"]（需先通过npm audit获取具体漏洞ID）。

注意事项 #

• 替换版本后必须运行项目测试用例，确保无兼容性问题；
• 关注react-scripts官方更新，待其发布修复依赖漏洞的版本后，可直接升级react-scripts。

内容的提问来源于stack exchange，提问作者Lefeldiman