全局安装Truffle@5.4.29时出现Electron依赖漏洞修复报错问题

• 告警中存在漏洞的Electron和你全局安装的19.0.3版本完全无关，它是truffle@5.4.29依赖链上electron-eval包自带的私有嵌套依赖，安装路径为node_modules/electron-eval/node_modules/electron，和全局环境的Electron是完全隔离的。
• 之前卸载、切换全局Electron版本操作无效，是因为npm依赖查找规则优先读取包自身目录下的node_modules内容，electron-eval根本不会加载全局安装的Electron版本。
• npm audit fix修复失败是因为electron-eval早已停止维护，其包配置里写死了对<=13.6.3版本Electron的依赖，npm无法自动突破包本身的版本限制升级嵌套依赖。
• 常规智能合约开发流程（编译、部署、迁移、单元测试）不会调用electron-eval相关代码，该漏洞仅在运行不受信任的第三方Truffle脚本、插件时才有触发可能，普通开发场景下没有实际风险。

方案1：直接忽略告警（普通开发场景推荐） #

仅做自有合约的编译、测试、部署，不需要运行来源不明的Truffle插件或脚本时，直接忽略该告警即可，不会对日常开发造成实际安全影响。npm audit经常会报这类无实际触发路径的嵌套依赖理论漏洞，不需要全部强制修复。

方案2：升级Truffle到最新稳定版（长期最优方案） #

5.4.29是2021年发布的旧版本，新版Truffle已经完全移除了对electron-eval的依赖，不会再引入带漏洞的旧版Electron：

1. 卸载全局旧版本Truffle：

   npm uninstall -g truffle
   

2. 安装最新稳定版：

   npm install -g truffle
   

如果项目强依赖5.4.x版本的API，先在本地做兼容性验证再升级。

方案3：强制覆盖嵌套依赖（必须锁定5.4.29版本时使用） #

如果项目要求必须使用truffle@5.4.29，可通过npm 7+版本支持的overrides功能，强制替换electron-eval依赖的Electron版本：

1. 先把npm升级到7.0以上（低版本不支持overrides配置）：

   npm install -g npm@latest
   

2. 新建一个临时安装目录，在目录内创建package.json文件，写入以下配置：

   {
     "name": "truffle-install-temp",
     "version": "1.0.0",
     "dependencies": {
       "truffle": "5.4.29"
     },
     "overrides": {
       "electron-eval": {
         "electron": "19.0.3"
       }
     }
   }
   

3. 在该目录下执行npm install完成安装。
4. 把目录下node_modules/truffle软链到npm全局包目录，或者把目录下的node_modules/.bin路径加入系统环境变量，就能正常使用修复漏洞后的truffle@5.4.29。

方案4：项目本地安装替代全局安装 #

不需要全局安装Truffle，直接在智能合约项目目录内安装truffle@5.4.29，同时在项目的package.json里加上和方案3一致的overrides配置，后续通过npx truffle调用命令即可，既不污染全局环境，也能解决漏洞告警问题。

内容的提问来源于stack exchange，提问作者Noelle