无法修复npm audit漏洞：React+Electron项目求助

关于npm audit fix的疑问 #

npm audit fix并非在命令提示符中失效，它的修复能力存在局限：只有当依赖（或其子依赖）存在官方发布的安全修复版本，且版本升级不会破坏依赖树时，它才能自动完成修复。你遇到的lodash.merge漏洞来自子依赖multispinner，该子依赖大概率已停止维护，没有推送包含安全版本lodash.merge的更新包，所以npm audit fix无法处理这类情况。另外，手动在顶层dependencies添加lodash也不会覆盖子依赖的版本选择——npm会优先加载子依赖声明的特定版本。

具体修复步骤（适配Node14.18.1/npm6.x） #

Node14.18.1配套的npm是6.x系列，不支持npm8+的overrides字段，需要用resolutions配合工具强制替换子依赖版本：

• 安装强制版本替换工具：

  npm install npm-force-resolutions --save-dev
  

• 在package.json中添加resolutions字段，指定multispinner依赖的lodash.merge为安全版本：

  "resolutions": {
    "multispinner/lodash.merge": "^4.6.2"
  }
  

• 修改package.json的scripts，添加预安装钩子，确保安装时强制替换版本：

  "scripts": {
    "preinstall": "npx npm-force-resolutions"
  }
  

• 清理旧依赖文件后重新安装：

  rmdir /s /q node_modules
  del package-lock.json
  npm install
  

验证与后续处理 #

• 重新执行审计确认漏洞是否修复：

  npm audit
  

• 对于剩余的严重漏洞，用npm audit --detail查看每个漏洞的来源：

  npm audit --detail
  

  • 如果漏洞子依赖有安全版本，重复上述resolutions配置即可；
  • 如果子依赖已停止维护，考虑寻找功能替代包；
  • 若项目允许，建议升级到Node16+（配套npm8+），直接使用overrides字段即可强制替换子依赖版本，无需额外工具：

    "overrides": {
      "lodash.merge": "^4.6.2"
    }
    

内容的提问来源于stack exchange，提问作者Martin