如何手动修复npm漏洞？npm audit fix相关命令均无效怎么办

自动修复失效通常是因为漏洞存在于项目的传递依赖中，父依赖锁定了子依赖的版本范围，没有包含漏洞修复的安全版本，所以npm audit fix、npm audit fix --force和普通单包update命令都无法升级，可按以下步骤操作：

• 先定位漏洞所属依赖层级：查看npm audit输出的Dependency Path字段，明确漏洞包是项目直接依赖，还是某款依赖的子传递依赖。如果是直接依赖，先核对package.json中声明的该包版本范围是否覆盖了漏洞修复的安全版本，若范围限制过死直接手动修改版本号，删除package-lock.json和node_modules目录后重新执行npm install即可。
• 传递依赖强制指定安全版本（npm v8.3.0及以上版本适用）：在项目根目录的package.json中新增overrides字段，全局指定漏洞包的安全版本，示例配置如下：

  {
    "overrides": {
      "<漏洞包名>": "<安全版本号>"
    }
  }
  

  配置完成后执行npm install重新安装依赖即可生效。
• 低版本npm的替代方案：如果你使用的npm版本低于8.3.0，可通过npm-force-resolutions工具实现版本强制锁定：
  1. 在package.json的scripts字段中新增"preinstall": "npx npm-force-resolutions"
  2. 在package.json中新增resolutions字段，指定漏洞包的安全版本，示例：

  {
    "resolutions": {
      "<漏洞包名>": "<安全版本号>"
    }
  }
  

  3. 执行npm install完成依赖重装。
• 冗余依赖直接移除：如果漏洞所属的依赖是测试依赖、或者项目中未实际使用的冗余依赖，直接执行npm uninstall <包名>即可彻底消除对应漏洞。
• 修复后验证：操作完成后重新执行npm audit检查漏洞是否已全部清除，同时运行项目测试用例，确认强制升版不会导致依赖兼容问题。

注意：强制指定传递依赖版本前，需确认安全版本与父依赖的兼容性，避免出现依赖调用报错的情况。

内容的提问来源于stack exchange，提问作者Jeff Chong