使用create-react-app创建React项目出现漏洞且npm audit fix无法解决

问题原因 #

• 你使用的是适配React 17的旧版create-react-app脚手架，其内置依赖链长期未迭代，本身存在大量历史遗留漏洞，属于脚手架官方的已知问题，和你的创建操作无关。
• 配套的Node.js v14、npm v7均为已停止维护的旧版本，旧版npm的依赖解析逻辑存在缺陷，导致npm audit fix无法完整修复嵌套层级的依赖漏洞。
• 提示的漏洞绝大多数属于开发依赖范畴，仅会影响本地开发流程，不会被打包到生产环境代码中，不会导致线上应用出现安全风险。

解决方案 #

方案1：升级工具链（最推荐） #

• 先卸载全局安装的旧版脚手架：npm uninstall -g create-react-app
• 将Node.js升级到当前LTS长期支持版本（推荐v18或v20），同步升级npm到v9及以上版本
• 后续创建项目使用最新版脚手架：npx create-react-app@latest <AppName>，新版脚手架依赖已经过官方修复，基本不会出现大量漏洞提示。

方案2：临时忽略开发依赖漏洞 #

如果暂时无法升级工具链，可以在执行依赖安装时忽略非必要的漏洞告警：

• 创建项目时添加审计等级过滤参数：npx create-react-app <AppName> --audit-level critical
• 日常安装依赖时如果不需要审计可添加--no-audit参数：npm install <包名> --no-audit
• 不要随意执行npm audit fix --force，该命令会强制升级依赖主版本，极易引发依赖兼容性问题，导致项目无法正常运行。

方案3：手动修复指定嵌套依赖 #

如果确实需要修复某个高危漏洞，可以通过npm overrides强制指定嵌套依赖的安全版本：
在项目package.json中添加如下配置后重新执行npm install即可生效：

{
  "overrides": {
    "需要修复的依赖包名": "^安全版本号"
  }
}

内容的提问来源于stack exchange，提问作者Aly