执行npm audit fix --force仍无法修复Node依赖漏洞怎么办

反复执行npm audit fix甚至加--force参数都无法修复漏洞，核心原因是漏洞存在于嵌套依赖中：你当前安装的nodemon版本依赖了旧版chokidar和update-notifier，这两个包又分别依赖了带漏洞的glob-parent（高危正则拒绝服务漏洞）和got（中危UNIX套接字重定向漏洞）。上层依赖没有放开安全版本的版本范围，npm的自动修复命令不会打破依赖版本约束强制安装不兼容版本，因此会出现反复提示修复但始终无效的情况。
你看到的--global、--local参数废弃警告是npm版本迭代的提示，不影响依赖安装和漏洞修复，升级npm到最新版即可自动消除。

按优先级从高到低尝试即可：

方案1：升级存在漏洞链的直接依赖（最稳妥，优先选择） #

两个漏洞链的入口都是开发依赖nodemon，最新版nodemon已经将所有关联依赖升级到了无漏洞版本，直接升级即可解决：

• 卸载当前旧版本nodemon：
  npm uninstall nodemon --save-dev
• 安装最新正式版nodemon：
  npm install nodemon@latest --save-dev
• 执行审计命令验证修复结果：
  npm audit
  绝大多数场景下执行完这三步即可清除全部7个漏洞。

方案2：强制覆盖嵌套依赖版本（需保留旧版nodemon时使用） #

如果项目存在兼容性要求不能升级nodemon，可以通过npm的overrides配置强制指定所有嵌套依赖的安全版本，跳过上层依赖的版本约束：

• 确认本地npm版本高于8.3.0，低于该版本不支持overrides配置，先执行npm install -g npm@latest升级即可
• 打开项目根目录的package.json文件，在顶层添加如下配置：

{
  "overrides": {
    "glob-parent": "^5.1.2",
    "got": "^11.8.5"
  }
}

• 删除项目目录下的node_modules文件夹和package-lock.json文件
• 重新执行npm install安装全部依赖，安装完成后执行npm audit验证即可。

方案3：忽略非生产环境漏洞（无生产影响时使用） #

nodemon属于开发环境依赖，仅在本地开发启动服务时运行，不会被打包到生产环境代码中，上述两个漏洞不会对线上服务产生实际影响。如果操作后仍有残留漏洞提示，可以直接忽略开发依赖的审计结果：

• 执行如下命令跳过开发依赖的漏洞扫描即可：
  npm audit --omit=dev

内容的提问来源于stack exchange，提问作者Simon Flambeaux