执行npm install遇无可用修复漏洞，npm audit提示no fix available怎么办？

• 手动更新目标依赖
  先通过npm ls <漏洞包名称>定位它在依赖树里的位置，查一下该包的最新稳定版，直接修改package.json里的版本号，重新执行npm install。如果是嵌套依赖的问题，npm 8+可以用overrides字段强制指定版本，比如在package.json里添加：

  "overrides": {
    "有漏洞的包名": "修复后的版本号"
  }
  

  再跑npm install就能强制替换嵌套依赖的版本。

• 选择性忽略漏洞
  要是确定这个漏洞在你的项目里没实际风险（比如漏洞涉及的功能你根本用不上），可以试试npm audit fix --force强制修复，但注意这可能破坏依赖兼容性；或者用npm audit --audit-level=moderate（也可换成critical），让npm只提示中高危以上的漏洞——不过这只是隐藏提示，没真正解决问题。

• 换包管理器尝试
  换成yarn或者pnpm，它们的依赖解析逻辑和npm不同，可能自动搞定一些npm处理不了的嵌套依赖漏洞。比如yarn可以用resolutions字段锁定依赖版本，作用和npm的overrides类似。

• 联系包维护者修复
  如果涉及的包已经很久没更新，直接去它的GitHub仓库提Issue提醒维护者修复漏洞，或者自己修改代码提交PR，等合并后更新包版本即可。

内容的提问来源于stack exchange，提问作者Muneeb Ahmad