执行sudo npm -g install create-react-app时的版本异常与漏洞问题

1. Node.js版本检测不一致的根源与修复 #

你的核心问题是当前用户环境和sudo环境使用的Node.js版本不统一：你本地实际用的是18.5.0，但sudo执行时调用的是root环境里的12.22.9版本，这直接导致了EBADENGINE版本不兼容警告。

• 先验证结论：执行sudo node -v，会输出v12.22.9，和警告里的版本一致。
• 修复方案：
  • 尽量避免用sudo安装全局npm包，这会引发权限和环境不一致问题。如果直接执行npm -g install create-react-app提示权限不足，建议修复npm全局目录权限（不要修改系统目录权限，而是把npm全局包目录指向用户目录）：

    mkdir -p ~/.npm-global
    npm config set prefix '~/.npm-global'
    

    然后把~/.npm-global/bin加入到你的shell配置文件（比如~/.bashrc或~/.zshrc）的PATH中：

    export PATH=~/.npm-global/bin:$PATH
    

    重启shell后再执行全局安装就不需要sudo了。
  • 若必须用sudo，可让sudo继承当前用户的Node环境，执行：

    sudo -E npm -g install create-react-app
    

    -E参数会保留当前用户的环境变量，包括Node的路径。

2. npm audit结果矛盾的解释 #

你执行npm audit返回0个漏洞，是因为该命令默认检测当前目录下的本地项目依赖，而你是在空目录执行的，自然没有漏洞。安装时提示的2个高危漏洞属于全局包漏洞，要检测全局包漏洞需加--global参数：

npm audit --global

执行这个命令就能看到那2个高危漏洞的具体详情。

3. 更推荐的Create React App使用方式 #

目前官方已不建议全局安装create-react-app（全局版本易过时），推荐直接用npx创建项目，无需全局安装：

npx create-react-app my-app

这个命令会自动拉取最新版本的create-react-app创建项目，能避免全局环境的各类问题，更适合新手使用。

内容的提问来源于stack exchange，提问作者ThreeMuskit33rs