执行npm install后出现高严重性漏洞提示，该如何解决？

第一步：明确漏洞具体信息 #

先执行npm audit命令，查看高严重性漏洞对应的包、影响范围和官方修复建议。这能帮你判断是否需要执行带破坏性变更的修复操作，避免盲目操作。

第二步：尝试常规兼容修复 #

先运行npm audit fix（不带--force），该命令会在不修改package.json依赖版本范围的前提下，修复所有可兼容的漏洞。如果部分高严重性漏洞无法通过此方式解决，再进行下一步。

第三步：评估并执行强制修复 #

如果常规修复无效，再执行npm audit fix --force。注意：此命令会修改package.json和package-lock.json中的依赖版本，可能引入破坏性变更。执行前请：

• 先将当前代码、package.json和package-lock.json提交到版本控制系统（如Git），方便后续回滚。
• 对照npm audit的输出，确认涉事包的新版本是否与项目兼容。

第四步：手动更新涉事包 #

若不想承担强制修复的风险，或强制修复后出现问题，可以手动更新有漏洞的包：

1. 从npm audit输出中提取存在高严重性漏洞的包名。
2. 运行npm install <包名>@<安全版本号>（或npm install <包名>@latest）更新该包。
3. 再次执行npm audit确认漏洞是否修复。

第五步：清理缓存后重新安装 #

如果上述步骤均无效，尝试重置依赖环境：

• 执行npm cache clean --force清理npm缓存。
• 删除项目根目录下的node_modules文件夹和package-lock.json文件。
• 重新运行npm install，之后用npm audit检查漏洞状态。

第六步：处理深层依赖漏洞 #

若漏洞来自项目依赖的子依赖（深层依赖），可以：

• 用npm ls <漏洞包名>查看该包在依赖树中的层级。
• 尝试更新对应的直接依赖包版本，看是否能解决深层漏洞。
• 若直接依赖无法更新，可使用npm 8.3+支持的overrides功能，在package.json中强制指定深层依赖的安全版本：

  "overrides": {
    "<漏洞包名>": "<安全版本号>"
  }
  

  添加后执行npm install即可应用该配置。

内容的提问来源于stack exchange，提问作者imran