npm audit无法修复剩余2个高危漏洞，执行npm audit fix --force无效怎么办

关于lockfileVersion 2的影响说明 #

npm v7及以上版本默认使用lockfileVersion 2格式，该格式向下兼容npm v6及更高版本，只要团队所有成员使用的npm版本不低于v6，该改动不会产生任何负面影响，无需回退。

剩余漏洞修复步骤 #

• 第一步：定位漏洞来源
  运行npm audit命令，查看完整的漏洞报告，确认2个高危漏洞对应的包名、版本范围，以及该包是项目直接依赖，还是其他依赖引入的间接子依赖。
• 第二步：根据依赖类型处理
  1. 若为直接依赖：手动将该依赖升级至官方已发布漏洞修复的版本即可，执行命令示例：npm install <漏洞包名>@<修复版本号> --save，升级完成后运行单元测试、功能测试验证业务逻辑正常。
  2. 若为间接依赖：在package.json中新增overrides字段（npm v8.3及以上版本支持），强制所有依赖链路中该包的版本为安全版本，配置示例：

  {
    "name": "your-project",
    "dependencies": {
      /* 原有依赖配置 */
    },
    "overrides": {
      "<漏洞包名>": "<安全版本号>"
    }
  }
  

  若使用yarn作为包管理器，使用resolutions字段替代overrides即可，逻辑一致。配置完成后删除node_modules文件夹和package-lock.json（或yarn.lock）文件，重新执行安装命令即可生效。
• 特殊情况处理
  如果漏洞对应的依赖官方暂未发布修复版本，可在团队评估风险后，在audit-ci的配置文件中添加该漏洞到允许列表（allowlist）临时绕过CI阻断，待官方发布修复版本后再行升级。

关于npm audit fix --force漏洞数反复波动的说明 #

该现象是npm audit命令的已知问题，--force参数会强制跨大版本升级依赖，部分依赖的兼容逻辑会导致升级、降级进入死循环，不要重复执行该命令，避免依赖配置被打乱。

内容的提问来源于stack exchange，提问作者friartuck