.npmrc文件导致npm install不显示漏洞问题排查

问题描述 #

删除.npmrc文件后执行npm install，npm会正常检测并显示项目依赖中的漏洞；但当.npmrc仅配置私有源地址（内容为registry = <my_registry_url>）时，执行npm install完全看不到任何漏洞提示，尝试多种配置仍未解决，需要排查遗漏的配置项。

可能的遗漏配置与解决方法 #

• 检查私有源的漏洞数据支持
  npm的漏洞检测依赖官方的漏洞数据库，多数私有源默认不会同步这份数据，也没开启相关服务。你需要确认自己用的私有源（比如Verdaccio、Nexus）是否配置了同步npm官方漏洞数据，或者是否允许代理npm audit请求到官方源。

• 添加audit-registry配置项
  在.npmrc里单独指定漏洞检测的源，让npm从官方源拉取漏洞数据，同时从私有源下载包。添加以下内容：

  audit-registry = https://registry.npmjs.org/
  

  配置后再执行npm install，应该就能正常显示漏洞提示了。

• 排查npm版本与audit禁用配置

  • 旧版npm和私有源的audit兼容性较差，先升级npm到最新稳定版：npm install -g npm
  • 检查.npmrc里是否有audit=false这类禁用漏洞检测的配置，如果有直接删除；同时确认系统环境变量里有没有NPM_CONFIG_AUDIT=false，如果有取消该配置。

• 手动验证audit功能
  执行命令npm audit --registry=https://registry.npmjs.org/，如果能正常返回漏洞结果，说明核心问题就是.npmrc未配置audit-registry。

内容的提问来源于stack exchange，提问作者d1fficult