Lighthouse提示jQuery UI@1.12.1存安全漏洞如何兼容修复？

优先选择：升级到兼容的安全版本 #

这是改造成本最低的方案，不需要调整业务代码，兼容性完全匹配现有项目：

• 版本适配逻辑：jQuery UI 1.13.x 是官方维护的1.x分支最终稳定版，已经修复了1.12.1中所有被Lighthouse检出的已知安全漏洞。该版本对jQuery的兼容范围为>=1.8.0 <4.0.0，和你当前使用的jQuery 3.5.1完全适配；Bootstrap 4本身没有强制锁定jQuery UI必须为1.12.1版本，仅要求依赖的UI组件接口可用，升级后不会出现API不兼容的问题。
• 具体操作：
  1. 卸载现有存在漏洞的依赖，执行命令：
     npm uninstall jquery-ui
  2. 安装1.13.x分支最新稳定版：
     npm install jquery-ui@^1.13.2 --save
  3. 现有app.js里的引入代码不需要做任何改动，原有import 'jquery-ui/ui/widgets/datepicker.js'的文件路径在1.13.x版本中完全保留，打包部署后重新跑Lighthouse检测即可消除该安全告警。
• 验证要点：升级后重点回归项目中用到的jQuery UI组件（你当前只引入了datepicker，优先验证日期选择、值格式化、事件绑定等逻辑），1.13.x没有做破坏性API变更，回归成本极低。

备选方案：单模块打补丁（仅适用于无法全量升级的特殊场景） #

如果你因为包体积限制、或者项目对1.12.1版本做了定制化修改没法全量升级，可以针对漏洞点做单模块替换：

• 1.12.1版本披露的安全漏洞主要集中在position计算模块、tooltip组件的XSS过滤逻辑、旧版输入校验正则这几个部分，你只引入了datepicker组件，可以直接把1.13.2版本中对应的依赖模块文件提取到项目本地资源目录，修改引入路径指向本地打了补丁的文件即可，不需要全量替换整个jQuery UI包。
• 注意这个方案需要手动维护补丁，后续如果jQuery UI披露新的漏洞要手动同步修复，长期维护成本比直接升级高，非必要不选。

避坑说明 #

• 不要升级到jQuery UI 1.14及以上版本，该版本调整了jQuery版本兼容范围，裁剪了部分旧API，和Bootstrap 4的兼容性没有经过完整验证，容易出现组件运行报错。
• 不要引入第三方个人维护的魔改jQuery UI补丁包，避免引入供应链安全风险。
• 可以先排查项目实际依赖：Bootstrap 4原生组件并不依赖jQuery UI，多数场景下是第三方扩展插件（比如日期选择器、拖拽排序插件）带的依赖，如果确认全量功能都没用到jQuery UI的相关能力，可以直接在打包配置里移除该依赖的引用，从根源上消除漏洞。

内容的提问来源于stack exchange，提问作者Alexis Dalai Waldo Jiménez