XLSX包存在原型污染漏洞却无法升级至修复版本的解决办法咨询

问题说明 #

项目里用的xlsx包突然触发yarn audit告警，提示存在中等风险的原型污染漏洞，要求升级到>=0.19.3版本，但npm仓库里xlsx的最新稳定版只有0.18.5，导致构建失败。

可行解决办法 #

• 安装SheetJS官方GitHub分支版本：xlsx的维护方SheetJS已经在GitHub主分支合并了漏洞修复代码，直接安装该分支即可获取修复后的版本：

  yarn add https://github.com/SheetJS/sheetjs.git#main
  

  这个版本的代码已经包含漏洞修复，版本号也符合>=0.19.3的要求。
• 临时忽略告警（仅应急用）：如果暂时没时间调整依赖，可以在项目的.yarnrc文件中添加配置忽略该漏洞：

  audit.ignore = 1091817
  

  注意这只是临时方案，会保留安全风险，不建议长期使用。
• 替换为其他Excel处理包：如果对依赖稳定性要求极高，可以考虑切换到exceljs这类功能相近的替代包，不过需要适配现有代码逻辑。

补充提示 #

SheetJS的npm稳定版更新通常会滞后于GitHub分支，优先选择安装GitHub主分支版本是最直接的修复方式。

内容的提问来源于stack exchange，提问作者R.Almoued