react-skeleton-loader-pulse依赖prismjs高危漏洞，寻求修复方案

问题背景 #

• prismjs <=1.26.0存在多个高危漏洞，包括跨站脚本攻击（XSS）、**正则表达式拒绝服务（ReDoS）**等
• 漏洞根源：项目依赖的refractor版本（<=3.4.0 或 4.0.0-4.1.1）引入了易受攻击的prismjs版本
• 已尝试操作：将react-skeleton-loader-pulse更新至最新版1.2.0，问题未解决

可行修复方案建议 #

1. 强制升级prismjs版本 #

通过包管理器的依赖覆盖功能，强制指定项目使用安全版本的prismjs（>=1.27.0）：

• npm/yarn：在package.json中添加resolutions字段（yarn直接支持，npm需安装npm-force-resolutions）

  "resolutions": {
    "prismjs": "^1.27.0"
  }
  

  执行npm install或yarn install生效
• pnpm：在package.json中添加pnpm.overrides字段

  "pnpm": {
    "overrides": {
      "prismjs": "^1.27.0"
    }
  }
  

2. 检查并升级refractor #

确认refractor是否有修复prismjs依赖的新版本：

• 查询refractor最新稳定版，若存在>=4.1.2的版本，直接升级该依赖
• 执行命令：npm update refractor 或 yarn upgrade refractor

3. 临时规避措施（无法立即升级时） #

• 严格校验用户输入：对可能触发XSS/ReDoS的输入做过滤，拦截恶意代码或超长正则匹配字符串
• 监控依赖更新：持续关注refractor和react-skeleton-loader-pulse的官方动态，有修复版本立即升级

4. 替换依赖（极端情况） #

若上述方案均无效，考虑替换react-skeleton-loader-pulse为其他无漏洞依赖的骨架屏组件，彻底切断漏洞依赖链

内容的提问来源于stack exchange，提问作者usama arhamsoft