求助：Dependabot无法修复lodash.template漏洞的解决方法

问题根源 #

漏洞来自gulp-util@3.0.8依赖的lodash.template@3.6.2，而gulp-util是官方已废弃的包，不再维护，导致旧版lodash.template无安全修复。gulp-sass-grapher、@sxa/celt、gulp-upload均通过它间接引入了这个有风险的版本。

解决方案 #

1. 替换废弃的gulp-util依赖（长期最优解）

gulp-util已被官方标记为废弃，建议直接移除/替换所有依赖它的包：

• 移除gulp-sass-grapher：若项目不再使用该包，执行：

  npm uninstall gulp-sass-grapher
  

• 替换gulp-upload：选用维护活跃的替代包（如gulp-ftp或gulp-s3），先卸载旧包再安装新包：

  npm uninstall gulp-upload
  npm install gulp-ftp --save-dev
  

• 升级@sxa/celt：检查该包是否有更新版本（新版本可能已移除对gulp-util的依赖），执行升级：

  npm update @sxa/celt
  

2. 使用npm overrides强制升级lodash.template（临时应急方案）

若暂时无法替换依赖包，可通过npm的overrides功能强制让所有依赖树中的lodash.template使用安全的4.x版本（你的项目已通过gulp-prompt引入lodash.template@4.5.0，无兼容性风险）：

• 在项目根目录的package.json中添加配置：

  "overrides": {
    "lodash.template": "^4.5.0"
  }
  

  或精准针对gulp-util的依赖：

  "overrides": {
    "gulp-util": {
      "lodash.template": "^4.5.0"
    }
  }
  

• 执行命令让配置生效：

  npm install
  

3. 验证修复效果

执行以下命令确认所有lodash.template版本均已升级：

npm ls lodash.template

输出中不应再出现3.6.2版本，之后重新触发GitHub Dependabot扫描，漏洞会被标记为已修复。

内容的提问来源于stack exchange，提问作者pratik