如何解决Azure Pipeline中semver正则拒绝服务漏洞及依赖问题

方案1：使用通配符兼容所有嵌套依赖 #

直接指定semver:7.5.2可能因依赖树中包的路径不匹配触发ENOENT错误，改用通配符强制所有层级的semver统一版本：

"resolutions": {
  "**/semver": "7.5.2"
}

执行对应包管理器的安装命令（npm install或yarn install）重新拉取依赖。

方案2：临时跳过漏洞扫描（仅限紧急开发阶段） #

如果必须优先推进功能开发，可在Azure Pipeline的漏洞扫描任务中临时忽略该漏洞：

• 找到Pipeline中负责依赖安全扫描的步骤（如Azure自带扫描、Dependabot或Snyk任务）
• 添加排除规则，指定GHSA-c2qf-rxjj-qqgw为忽略项
• 注意：此为应急手段，后续必须尽快完成全依赖升级，不可长期使用

方案3：清理缓存后重新锁定版本 #

1. 清理包管理器缓存：
   • npm：npm cache clean --force
   • yarn：yarn cache clean
2. 删除node_modules文件夹及package-lock.json/yarn.lock锁文件
3. 保留resolutions配置，重新执行安装命令
4. 检查锁文件，确认所有semver实例的版本均为7.5.2

方案4：借助工具强制替换版本（npm用户适用） #

如果原生resolutions不生效，用npm-force-resolutions工具强制替换：

1. 安装工具：npm install -D npm-force-resolutions
2. 在package.json的scripts中添加：

   "preinstall": "npx npm-force-resolutions"
   

3. 保留resolutions中的"semver": "7.5.2"配置
4. 执行npm install，工具会自动替换所有嵌套依赖中的semver版本

内容的提问来源于stack exchange，提问作者meez