安装npm包时出现此类高风险漏洞提示的原因是什么？

我们逐个拆解你看到的提示内容：

• 安装完成与包审计

  added 1 package, and audited 1466 packages in 16s
  

  这句话说明你要安装的包已经成功完成安装，同时npm自动对项目内的1466个依赖包做了安全审计，整个过程耗时16秒。

• 包开发者资金支持提示

  206 packages are looking for funding
    run `npm fund` for details
  

  这206个依赖包的开发者正在寻求资金支持以维持项目开发，运行npm fund命令就能查看具体是哪些包，以及支持开发者的渠道信息。

• 安全漏洞提示

  6 high severity vulnerabilities
  

  项目依赖中存在6个高风险安全漏洞，这类漏洞可能被攻击者利用，影响项目安全性，需要重点关注。

• 漏洞修复建议

  To address all issues (including breaking changes), run:
    npm audit fix --force
  
  Run `npm audit` for details.
  

  npm audit fix --force是npm提供的强制修复命令，它会尝试修复所有漏洞，但可能会强制升级部分包的版本，导致项目出现兼容性问题（即提示里的breaking changes）。如果不想承担这个风险，可以先运行npm audit查看每个漏洞的具体详情，再选择合适的方式手动处理。

内容的提问来源于stack exchange，提问作者Avinash kumar