安装React遇tar版本过时告警，已升级tar仍存疑问求助

你看到的tar@2.2.2警告，是create-react-app@1.5.2这个旧版本自身依赖的包，和你全局安装的tar完全没关系。npm包在安装时会优先使用自己内部node_modules里的依赖，不会调用全局安装的包，所以你全局升级tar根本影响不到这个旧版create-react-app的依赖链。

分两种情况处理：

必须使用create-react-app@1.5.2的情况 #

• 直接忽略警告：这个警告只是提示依赖包过时，不会直接导致安装失败或项目运行问题，但要留意该版本tar存在的安全风险
• 手动修改依赖（不推荐）：找到全局create-react-app的安装目录（可以用npm root -g查看全局包路径），进入create-react-app@1.5.2的文件夹，修改package.json里的tar依赖版本为^6.x.x，然后执行npm install更新内部依赖

可以放弃旧版本的情况 #

• 安装最新版create-react-app：执行npm install -g create-react-app，新版本已经更新了所有依赖，不会再出现这个警告
• 用npx直接创建项目（更推荐）：不用全局安装，直接执行npx create-react-app@latest your-project-name，npx会自动拉取最新版的包来创建项目，避免全局依赖的版本问题

内容的提问来源于stack exchange，提问作者Asad Ali