我是否需要担心npm包存在的漏洞？npm install告警该如何处理？

漏洞告警是否为正常情况 #

这类告警属于npm的常规安全提示，非常常见。npm会在安装依赖时自动扫描所有依赖包的版本，匹配公开披露的漏洞库，只要项目依赖了存在安全问题的版本就会弹出提示，不属于操作异常。

是否需要重视这类漏洞 #

要结合漏洞等级和项目场景判断：

• 严重/高危漏洞：必须重视，尤其是面向公网部署、处理用户敏感数据的生产项目，这类漏洞极易被利用，会引发数据泄露、服务被入侵等风险
• 中低危漏洞：本地测试、不对外暴露的内部项目可暂时观察，生产环境建议修复
• 若漏洞出现在devDependencies（开发依赖）中，且项目打包后不会将这类依赖打入生产产物，风险远低于生产依赖的漏洞，可酌情处理

漏洞修复方法 #

自动修复 #

优先使用官方自动修复命令，可解决90%以上的兼容类漏洞：
npm audit fix
该命令会自动将存在漏洞的依赖升级到已修复问题的最近兼容版本。

手动修复 #

如果自动修复无效，按以下步骤操作：

1. 执行npm audit查看完整漏洞详情，确认漏洞所在的包名、影响范围、已修复的版本号
2. 若漏洞出现在直接依赖中，直接修改package.json中对应依赖的版本号到安全版本，重新执行npm install即可
3. 若漏洞出现在间接依赖（依赖的依赖）中，npm v8.3以上版本可在package.json中新增resolutions字段强制指定子依赖的安全版本，示例：

{
  "resolutions": {
    "<漏洞包名>": "<安全版本号>"
  }
}

配置完成后重新执行npm install生效。
4. 若为开发依赖漏洞且确认不会影响生产运行，可临时忽略告警，安装时添加参数：npm install --audit false，该操作不建议生产环境使用。

内容的提问来源于stack exchange，提问作者m3k_1