使用ng new创建Angular项目出现npm audit漏洞警告该如何处理

问题排查结论 #

• 不存在版本冲突，你当前使用的Angular 12.x 属于已停止官方维护的LTS版本，其内置的开发依赖链存在未修复的历史公开漏洞，这是npm audit出现告警的核心原因。
• 所有告警漏洞均属于构建工具开发依赖范畴，不会被打包到生产环境的可执行代码中，不会影响线上业务的安全性。你可以执行npm audit --production验证生产依赖的安全性，正常会返回All OK。

消除漏洞告警的解决方案 #

方案1（推荐）：升级到当前官方维护的LTS版本

Angular 12的LTS维护周期已于2022年11月结束，官方不再为其推送依赖安全补丁，升级到仍在维护期的更高LTS版本（如16/18 LTS）是最优解：

1. 执行命令升级全局Angular CLI到最新LTS版本：
   npm install -g @angular/cli@lts
2. 升级完成后重新执行ng new test-proj生成项目，生成的项目依赖链已经过官方安全修复，绝大多数场景下npm audit会返回All OK。

方案2：必须保留Angular 12版本的处理方式

如果业务要求必须使用Angular 12，可以通过两种方式消除告警：

• 执行npm audit fix --force自动升级有漏洞的依赖，操作后需要验证项目构建、功能运行正常，避免依赖版本不兼容导致的异常。
• 在package.json中新增overrides字段，手动指定有漏洞依赖的安全版本，适配Angular 12的依赖兼容性要求。

补充说明 #

即使是官方维护中的最新LTS版本，也有可能偶发少量依赖安全告警，只要属于开发依赖范畴、且官方未推送对应修复补丁，都无需额外处理，不会对生产环境产生安全影响。

内容的提问来源于stack exchange，提问作者user3532232