Node.js 18升级后出现digital envelope错误的解决方案咨询

这个错误本质是Node.js v17+默认启用了OpenSSL 3.0，而旧版react-scripts依赖的Webpack 4使用的MD4哈希算法在OpenSSL 3.0中被标记为不安全，触发了兼容性问题。你当前使用的--openssl-legacy-provider是可行方案，但并非唯一解，以下是完整的解决选项：

解决方案选项 #

1. 升级react-scripts到v5及以上（推荐长期方案） #

create-react-app v5版本依赖Webpack 5，Webpack 5已适配Node.js v17+的哈希算法要求，默认使用xxhash64，无需额外配置。执行升级命令：

npm install react-scripts@latest
# 或使用yarn
yarn add react-scripts@latest

升级后直接使用原有启动命令即可，无需添加NODE_OPTIONS参数。

2. 保留旧版react-scripts，启用OpenSSL Legacy Provider（当前临时方案） #

这是最快捷的临时解决方式，通过启用OpenSSL旧版提供者允许MD4算法。注意要给所有相关命令都添加参数，避免打包、测试时出现同样错误：

"scripts": {
  "start": "NODE_OPTIONS='--openssl-legacy-provider' react-app-rewired start",
  "build": "NODE_OPTIONS='--openssl-legacy-provider' react-app-rewired build",
  "test": "NODE_OPTIONS='--openssl-legacy-provider' react-app-rewired test"
}

3. 替换Webpack哈希算法（仅适用于Webpack 5+环境） #

如果你的项目已升级到Webpack 5（即react-scripts v5+），可通过react-app-rewired配置指定兼容的哈希函数：

module.exports = {
  webpack: (config, env) => {
    config.output.hashFunction = 'xxhash64';
    return config;
  },
};

你之前尝试此方案报错，是因为旧版react-scripts依赖的Webpack 4不支持xxhash64，因此该方案仅适用于Webpack 5环境。

为什么其他尝试无效？ #

• 设置hashFunction为sha256/sha512无效：Webpack 4内部部分逻辑仍会使用MD4，仅修改output的哈希函数无法覆盖所有场景。
• npm audit --fix无效：此问题并非依赖包安全漏洞，而是Node.js与Webpack版本的兼容性问题，因此审计修复无法解决。

内容的提问来源于stack exchange，提问作者Alan P.