如何修复Node.js中ansi-html不受支持及存在漏洞的报错问题

核心问题说明 #

ansi-html官方已停止维护，不存在官方修复版本，常规npm update操作无法解决该漏洞，需要替换为社区长期维护的兼容版本。

具体解决步骤 #

情况1：项目直接依赖ansi-html #

• 卸载原有问题包：npm uninstall ansi-html
• 安装社区兼容替代包：npm install ansi-html-community --save
• 全局搜索项目中所有引入ansi-html的代码，将包名替换为ansi-html-community即可，两者API完全兼容，无需修改业务逻辑。

情况2：ansi-html为其他依赖的间接子依赖 #

需要通过包管理器的依赖锁定功能强制替换所有子依赖中的ansi-html：

1. 打开项目根目录的package.json文件，新增对应配置：
   • npm 8.3+版本新增overrides字段：

   {
     "overrides": {
       "ansi-html": "npm:ansi-html-community@latest"
     }
   }
   

   • 若使用yarn，新增resolutions字段；若使用pnpm，新增pnpm.overrides字段，配置内容和上述规则一致。
2. 删除项目根目录下的node_modules文件夹和锁文件（package-lock.json/yarn.lock/pnpm-lock.yaml）
3. 重新执行安装命令：npm install

其他提示说明 #

• 你看到的87个软件包正在寻求资助，运行npm fund查看详情提示不属于安全警告或错误，是npm的默认公益提示，不影响项目正常运行。如果不需要该提示可以执行npm config set fund false全局关闭。
• 完成替换操作后执行npm audit，就不会再出现ansi-html相关的漏洞告警。

内容的提问来源于stack exchange，提问作者MSC