Angular项目存在2个高严重级漏洞，咨询是否为个体问题及能否忽略

1. 这类问题并非个例 #

不少Angular开发者用ng new创建新项目后，都会碰到npm audit报出高/中危漏洞的情况，大多是依赖链深层的间接依赖问题。这通常是因为Angular CLI的模板依赖版本没及时跟进第三方包的安全更新，或是部分依赖存在版本兼容锁，直接修复会打破现有依赖结构。

2. 能否忽略这些漏洞？ #

分场景判断：

• 间接依赖的非核心漏洞：如果漏洞来自项目核心业务不会用到的间接依赖（比如构建工具、测试工具的依赖），且漏洞触发场景和你的项目运行/构建逻辑无关，完全可以暂时忽略。
• 涉及核心运行时的漏洞：如果漏洞涉及Angular核心包、浏览器端运行的依赖（比如XSS、代码执行类漏洞），则不能忽略，必须手动处理。

3. 不建议用npm audit fix --force的原因 #

npm audit fix --force会强制升级依赖，极易破坏Angular项目的依赖版本兼容性——Angular对依赖版本有严格适配要求（比如特定版本的@angular/core对应特定版本的rxjs、zone.js），强制升级容易导致构建失败、运行时错误，反而引入更多问题。

4. 更合理的处理方式 #

• 查看漏洞详情：执行npm audit时，仔细阅读漏洞的具体描述，确认涉事包、漏洞类型及触发条件。
• 手动更新特定依赖：如果是直接依赖的漏洞，通过npm install <package>@latest手动升级到安全版本，同时验证项目是否能正常构建运行。
• 使用npm-force-resolutions：在package.json中添加resolutions字段，强制指定有漏洞的依赖的安全版本，再执行npx npm-force-resolutions修复，示例：

  "resolutions": {
    "存在漏洞的包名": "安全版本号"
  }
  

• 等待Angular CLI更新模板依赖：如果是CLI模板自带的依赖问题，可以关注Angular官方仓库的更新，后续版本大概率会修复这类依赖漏洞。

内容的提问来源于stack exchange，提问作者Ignorant Necromancer