React项目通过npm安装firebase后出现依赖漏洞如何解决？

• 第一步：先执行非破坏性修复
  优先运行npm audit fix，这个命令只会升级依赖的次版本和修订版本，不会变更大版本，几乎不会引入兼容性问题，先把可自动修复的漏洞全部处理完成。执行结束后再运行npm audit查看剩余未修复的漏洞数量和详情。
• 第二步：评估剩余漏洞的实际影响
  大多数情况下npm audit报的漏洞属于firebase的嵌套子依赖漏洞，而非firebase本身的问题。你需要先明确两个点：

  1. 漏洞的触发场景：如果漏洞只在Node.js服务端运行时生效，你做的是前端React项目，代码最终打包在浏览器端运行，这类漏洞完全不会影响你的项目，可忽略。
  2. 漏洞关联的依赖是否为你实际用到的功能：如果漏洞出现在firebase你完全用不到的模块对应的子依赖里，也不需要特殊处理。

• 第三步：手动修复有实际影响的剩余漏洞
  如果确认剩余漏洞会影响项目安全，不要执行npm audit fix --force，这个命令会直接升级依赖的大版本，大概率导致firebase的API不兼容，原有业务代码报错。
  你可以在package.json中新增overrides字段（npm 8.3及以上版本支持），手动指定存在漏洞的子依赖的安全版本，示例配置如下：

  {
    "name": "你的项目名",
    "dependencies": {
      "firebase": "^你安装的版本号"
    },
    "overrides": {
      "存在漏洞的子依赖包名": "^已修复漏洞的安全版本号"
    }
  }
  

  配置完成后删除node_modules文件夹和package-lock.json文件，重新执行npm install即可，这个方式不会破坏firebase的原有功能兼容性。
• 第四步：功能验证
  依赖安装完成后启动本地开发服务，测试所有用到firebase的功能（比如身份验证、云存储读写、实时数据库等），确认功能运行正常即可。

内容的提问来源于stack exchange，提问作者Aryan Bagade