如何处理npm audit修复nth-check高风险依赖的破坏性变更？

你遇到的是nth-check包的正则复杂度漏洞，依赖链为@svgr/webpack → @svgr/plugin-svgo → svgo → css-select → nth-check，直接执行npm audit fix --force会触发@svgr/webpack的大版本升级（破坏性变更），可按以下方式处理：

方案一：先验证破坏性变更的影响 #

• 先查看@svgr/webpack 6.x的官方变更记录，重点核对你项目中用到的SVG导入、配置项是否有重大改动
• 在本地做隔离测试：
  1. 新建git分支，避免影响主代码
  2. 执行npm audit fix --force
  3. 运行项目的开发服务（npm start）和生产构建（npm run build），检查控制台是否有报错
  4. 手动测试所有涉及SVG的页面/组件，确认功能正常

方案二：强制修复底层漏洞，不升级上层大版本 #

如果不想冒大版本升级的风险，可使用npm的overrides功能（npm 8及以上版本支持），直接替换依赖链中的脆弱包：

1. 在项目的package.json中添加以下配置：

   "overrides": {
     "nth-check": "^2.0.1",
     "css-select": "^4.0.0"
   }
   

2. 执行npm install
3. 再次运行npm audit，确认高风险漏洞已修复

该方法原理是强制让整个依赖树使用指定的安全版本包，跳过@svgr/webpack的大版本升级，避免破坏性变更。

方案三：等待上游依赖更新 #

你可以关注@svgr/plugin-svgo的仓库动态，看官方是否会推出兼容现有@svgr/webpack 5.x版本的更新，将依赖的svgo升级到2.x+（该版本已修复css-select和nth-check的依赖问题），这样就能在不升级@svgr/webpack大版本的情况下修复漏洞。

内容的提问来源于stack exchange，提问作者kekerinho