安装Laravel 8.83.27+Breeze时npm安装出现高风险漏洞求助

问题场景 #

执行以下命令安装Laravel Breeze Vue版本后，npm install环节出现5个高风险漏洞提示，涉及json5、loader-utils、img-loader、vue-style-loader及laravel-mix等依赖：

php artisan breeze:install vue
php artisan migrate
npm install

漏洞提示信息：

> Will install laravel-mix@0.8.9, which is a breaking change
> node_modules/img-loader/node_modules/json5
> node_modules/vue-style-loader/node_modules/json5   loader-utils 
> <=1.4.2   Depends on vulnerable versions of json5  
> node_modules/img-loader/node_modules/loader-utils  
> node_modules/vue-style-loader/node_modules/loader-utils
>     img-loader  *
>     Depends on vulnerable versions of loader-utils
>     node_modules/img-loader
>       laravel-mix  >=0.9.0
>       Depends on vulnerable versions of img-loader
>       Depends on vulnerable versions of vue-style-loader
>       node_modules/laravel-mix
>     vue-style-loader  *
>     Depends on vulnerable versions of loader-utils
>     node_modules/vue-style-loader

> 5 high severity vulnerabilities

解决方法 #

1. 自动修复兼容漏洞 #

优先使用npm自带的审计修复工具，尝试自动修复可兼容的漏洞：

npm audit fix

若提示存在破坏性变更无法自动修复，可添加--force参数强制更新（注意：此操作可能更新依赖到不兼容版本，需确认项目可接受）：

npm audit fix --force

2. 手动指定安全依赖版本 #

如果自动修复无效，直接修改package.json中的依赖版本为适配Laravel 8的安全兼容版：

{
  "dependencies": {
    // 保留其他原有依赖
    "laravel-mix": "^6.0.49",
    "vue-style-loader": "^4.1.3"
  },
  "devDependencies": {
    // 保留其他原有依赖
    "img-loader": "^4.0.0",
    "loader-utils": "^2.0.4",
    "json5": "^2.2.3"
  }
}

修改后删除旧依赖文件重新安装：

rm -rf node_modules package-lock.json
npm install

3. 强制解决嵌套依赖漏洞 #

若漏洞来自嵌套的深层依赖，可使用npm-force-resolutions强制锁定安全版本：

1. 安装工具：

npm install --save-dev npm-force-resolutions

2. 在package.json中添加版本锁定规则：

"resolutions": {
  "json5": "^2.2.3",
  "loader-utils": "^2.0.4"
}

3. 添加预安装脚本，确保安装前执行版本锁定：

"scripts": {
  "preinstall": "npx npm-force-resolutions",
  // 保留原有脚本如dev、build等
}

4. 重新安装依赖：

rm -rf node_modules package-lock.json
npm install

内容的提问来源于stack exchange，提问作者Ani