执行npm audit fix时报coa包preinstall错误：找不到compile.js模块

该报错是因为coa@2.1.3属于官方核实的恶意投毒版本，2021年npm仓库曾发生coa、rc等包的投毒事件，该版本被篡改了安装逻辑，不存在正常的compile.js文件，还内置了恶意执行脚本，因此安装时会抛出找不到模块的错误。

方案1：强制锁定coa安全版本（优先推荐） #

使用npm的overrides配置（npm v8.3.0及以上版本支持）强制项目所有依赖链中的coa使用安全版本：

• 在项目根目录的package.json中新增如下配置：

{
  "overrides": {
    "coa": "~2.0.2"
  }
}

• 删除本地的node_modules文件夹和package-lock.json文件：

rm -rf node_modules package-lock.json

• 重新安装依赖：

npm install

• 再执行npm audit fix即可正常运行。

方案2：升级上层依赖适配 #

如果你的项目中postcss-svgo版本较低，可以升级postcss-svgo到已移除不安全coa依赖的版本：

npm install postcss-svgo@latest --save-dev

升级完成后再重新执行npm audit fix即可。

方案3：临时跳过preinstall脚本（不推荐，仅应急使用） #

如果只是临时需要执行npm audit fix，可以临时关闭npm的脚本执行权限，执行完成后再恢复：

npm audit fix --ignore-scripts

注意该方法会跳过所有依赖的安装脚本，可能导致部分依赖功能异常，仅建议临时应急使用。

内容的提问来源于stack exchange，提问作者Lin Du