搭建Firebase与React应用遇高风险漏洞，该如何处理？

核心问题梳理 #

你遇到的漏洞源于 nth-check <2.0.1 的正则表达式复杂度问题，依赖链最终指向 react-scripts。官方提示的 npm audit fix --force 会强制降级 react-scripts 到2.1.3，这完全不可取——该版本过于老旧，和你当前使用的 Node 16.17.1、Firebase 11.20.0存在严重兼容性冲突，会直接导致项目无法正常运行。

推荐处理方案（按优先级排序） #

1. 用 npm overrides 强制升级 nth-check（最优解）

直接在项目的 package.json 中添加 overrides 字段，强制将依赖链里的 nth-check 升级到安全版本（≥2.0.1），无需修改 react-scripts 版本：

{
  // 其他package.json原有内容
  "overrides": {
    "nth-check": "2.0.1"
  }
}

添加后执行 npm install，重新安装依赖后，npm audit 就不会再报这个漏洞。这种方法既解决了安全问题，又不会破坏现有依赖的稳定性。

2. 升级 react-scripts 到最新稳定版（长期方案）

如果你的 react-scripts 版本不是最新的v5.x系列，直接升级到最新稳定版：

npm install react-scripts@latest

新版 react-scripts 依赖的 svgo 版本已经更新，间接修复了 nth-check 的漏洞，同时还能获得更多安全补丁和新特性。升级过程中如果出现配置变更提示，按照官方指引调整即可，create-react-app的升级基本是平滑的。

3. 临时忽略漏洞（快速开发）

这个漏洞属于正则表达式DoS攻击，在前端项目中，除非你的应用需要处理大量不可信的SVG/HTML选择器，否则实际攻击风险极低。如果只是想快速推进开发，可以：

• 执行 npm install --no-audit 跳过审计提示；
• 或者在 package.json 中添加 "audit": false，永久关闭npm审计。

绝对不要做的事 #

不要执行 npm audit fix --force，降级 react-scripts 到2.1.3会引发Node版本不兼容、Firebase适配失败等一系列严重问题，反而需要花费更多时间修复。

内容的提问来源于stack exchange，提问作者Michel