如何在执行npm audit及npm audit fix时忽略指定包？

npm 原生没有给npm audit和npm audit fix提供--ignore类的命令行参数，你之前尝试的npm audit --ignore handsontable、npm audit --ignore=handsontable写法本身不属于合法参数，自然不会生效。

针对你碰到的handsontable提示「no fix available」的场景，可按实际需求选以下方案处理：

• 仅需要在查看audit报告时隐藏指定包的告警
  直接通过管道命令过滤终端输出即可，不需要修改项目配置：
  • macOS/Linux 终端执行：npm audit | grep -v "handsontable"
  • Windows PowerShell 执行：npm audit | Select-String -Pattern "handsontable" -NotMatch
    这种方式仅屏蔽终端显示的内容，不会修改npm audit的扫描逻辑，也不会影响npm audit fix的执行行为。
• 需要在执行npm audit fix时跳过指定包
  如果你使用 npm 8.3.0 及以上版本，直接在项目根目录的package.json中添加overrides字段，把要忽略的包锁定到当前项目正在使用的版本即可：

  {
    "overrides": {
      "handsontable": "$handsontable"
    }
  }
  

  配置后npm会强制所有依赖层级使用你当前声明的handsontable版本，执行npm audit fix时不会尝试升级或修改这个包，对应包的可修复告警也不会再出现在报告中。
  如果你使用的npm版本低于8.3.0，没有原生支持的精准跳过方案，建议优先升级npm版本；如果告警来自开发依赖，也可以执行npm audit fix --production跳过所有开发依赖的扫描和修复，但该方式无法精准过滤单个生产依赖。
• 需要永久忽略指定包的所有audit告警
  npm 原生目前没有提供单独的审计忽略名单配置，如果有长期忽略单个包告警的需求，可以换用pnpm、yarn这类原生支持audit忽略配置的包管理器，相关操作会更灵活。

注意：忽略安全告警前务必先评估漏洞的实际影响，确认漏洞触发场景和你的业务使用场景无重叠、不会带来实际安全风险后再操作，不要盲目忽略高危告警。另外你当前碰到的「no fix available」提示本身就说明handsontable还没有发布对应漏洞的修复版本，就算不做忽略配置，npm audit fix也不会对这个包做任何修改。

内容的提问来源于stack exchange，提问作者Sagar Sathyanarayanan