关于Dependabot撤回ansi-regex漏洞告警提示无需安全更新的疑问

• 首先是Dependabot的漏洞判定逻辑：Dependabot默认仅校验项目生产运行时实际加载的依赖版本，不会将lock文件中所有存在的版本都纳入风险判定范围。你目前yarn.lock中同时存在2.1.1漏洞版本和5.0.0修复版本的情况下，若漏洞版本未被生产环境实际调用，Dependabot会判定无风险。
• 常见的漏洞版本未被调用的两类场景：
  • 漏洞版本属于开发依赖引入：如果ansi-regex@2.1.1是被测试工具、构建工具等开发依赖（devDependencies）引入的，Dependabot默认忽略开发依赖链路上的漏洞，不会触发告警。
  • 模块加载规则自动优先使用高版本：Node.js依赖加载遵循就近匹配原则，若你的项目直接生产依赖指定了ansi-regex@^5.0.0，所有父依赖调用ansi-regex时都会优先加载高版本的修复版，低版本2.1.1不会被实际执行到，不存在可被利用的攻击面。
• 你可以执行yarn why ansi-regex命令，查看两条依赖记录分别对应的父依赖和依赖类型，确认低版本漏洞包的引入路径是否属于无需修复的范围。

内容的提问来源于stack exchange，提问作者Lucas Gonze