Angular 12中loader-utils@2.0.0漏洞：无需升级框架即可升级至3.*.*？

核心结论 #

不建议直接将loader-utils从2.0.0升级到3.*.*版本，版本兼容性问题会直接导致Angular构建失败。

原因 #

loader-utils 3.*.*是专为webpack 5+设计的版本，而Angular 12依赖的是webpack 4.x，两者存在API层面的破坏性变更，强制升级会引发各类构建报错，比如函数调用方式不匹配、webpack 4兼容方法被移除等。

正确修复方案 #

你的漏洞报告显示loader-utils在2.0.3版本之前存在原型污染问题，因此只需升级到2.0.3及以上的2.x版本即可修复漏洞，同时完全兼容Angular 12。具体操作如下：

方法1：使用npm的overrides字段（npm 8+支持） #

在项目的package.json中添加以下配置：

"overrides": {
  "loader-utils": "^2.0.3"
}

执行npm install后，npm会强制所有依赖树中的loader-utils使用指定版本。

方法2：使用yarn的resolutions字段 #

如果用yarn管理依赖，在package.json中添加：

"resolutions": {
  "loader-utils": "^2.0.3"
}

执行yarn install完成版本锁定。

验证修复结果 #

安装完成后，运行以下命令确认loader-utils的版本：

# npm
npm ls loader-utils

# yarn
yarn list loader-utils

输出结果中应显示loader-utils的版本为2.0.3或更高的2.x版本。

内容的提问来源于stack exchange，提问作者I'm nidhin