Angular项目中是否需扫描node_modules内yarn.lock文件检测CVE？

关于是否需要扫描yarn.lock的问题 #

必须扫描yarn.lock。这个文件记录了项目所有依赖（包括直接和间接依赖）的精确版本，Trivy只有通过它才能准确识别你项目实际安装的依赖包版本，避免依赖树解析时出现偏差，导致漏报或误报漏洞。

二级依赖CVE的修复替代方案 #

• 用yarn resolutions强制锁定安全版本：在package.json里添加resolutions字段，直接指定涉事二级依赖的安全版本。示例：

  "resolutions": {
    "lodash": "4.17.21",
    "@angular-devkit/build-angular/**/ansi-regex": "5.0.1"
  }
  

  执行yarn install后，yarn会强制把对应依赖升级到指定版本，哪怕直接依赖没更新。记得先确认安全版本和项目的兼容性，别搞出新问题。

• 检查直接依赖的更新：有些二级依赖的CVE，对应的直接依赖可能已经在新版本里修复了依赖版本。去看直接依赖的CHANGELOG或者GitHub Issues，要是有包含漏洞修复的版本，直接升级那个直接依赖就行。

• 临时规避漏洞场景：如果实在升不了级，且漏洞有明确的触发条件，比如某个依赖的XSS漏洞只在使用特定API时触发，而你的项目根本没用到这个API，那可以暂时保留依赖，但要持续监控后续修复情况。

• 用yarn audit自动修复：执行yarn audit fix，yarn会尝试自动修复可处理的依赖漏洞，包括升级二级依赖。不过这个命令会修改yarn.lock，执行完一定要测试项目功能是否正常。

• 重新生成yarn.lock：删掉yarn.lock和node_modules文件夹，重新跑yarn install。有时候旧的lock文件会残留过时的依赖版本，重新生成可能会自动拉取更安全的版本（只要直接依赖的版本范围允许）。

内容的提问来源于stack exchange，提问作者striker