安装react-router-dom时出现6个高危漏洞问题求助

问题本质 #

这个提示不是安装失败，也不是react-router-dom本身有问题，是npm自带的依赖审计机制扫描整个项目的所有依赖（包括你没直接安装的底层间接依赖）时，发现有6个依赖版本存在公开的安全风险记录。
绝大多数这类提示对于本地学习阶段的纯前端项目没有实际影响：这些高危漏洞基本都需要特殊触发条件，比如服务端部署时攻击者能控制特定入参、或者用到了这些依赖的特殊高危API才会被利用，做本地的textutils小练习完全碰不到这些场景。

具体处理步骤 #

• 绝对不要在不清楚后果的情况下第一时间运行npm audit fix --force。这个参数会强制跨大版本升级依赖，非常容易把create-react-app生成的项目依赖关系搞乱，轻则项目跑不起来，重则出现一堆新手根本排不动的版本兼容报错，得不偿失。
• 如果你只是本地写练习项目，完全可以忽略这个提示，直接正常写代码调用路由功能就行，不会有任何实际影响。
• 要是看着终端的提示实在不舒服，可以先运行npm audit查看具体漏洞详情，你能在输出里看到每个漏洞的触发条件，扫完就会发现基本和你的前端项目场景无关。之后运行不带--force参数的npm audit fix，这个命令只会升级兼容范围内的安全版本依赖，不会做破坏性改动，一般能修复一部分不影响兼容性的漏洞。
• 如果后续项目要上线部署，等功能开发完成后再统一处理漏洞即可：优先把项目里的react-scripts升级到官方最新稳定版，create-react-app的维护团队会定期更新依赖链修复已知安全问题，大部分漏洞升级完react-scripts就会消失。剩下的少量间接依赖漏洞，可以通过npm的overrides配置强制指定底层依赖的安全版本，不需要改动上层业务依赖。

安装过程终端输出记录 #

PS C:\Users\nagar\OneDrive\Documents\VS Code\React JS\textutils> npm install react-router-dom  

added 3 packages, and audited 1448 packages in 4s

194 packages are looking for funding
  run `npm fund` for details
6 high severity vulnerabilities

To address all issues (including breaking changes), run:     
  npm audit fix --force

Run `npm audit` for details.
PS C:\Users\nagar\OneDrive\Documents\VS Code\React JS\textutils>ls>

内容的提问来源于stack exchange，提问作者Satyam Nagar