执行npm audit fix --force仍无法修复npm高危漏洞该如何解决

解决方法 #

这种反复执行npm audit fix仍无法消除漏洞的情况，本质是项目中存在嵌套依赖引用了低版本的漏洞包，npm原生修复逻辑无法覆盖所有嵌套依赖的版本锁定场景，可按以下步骤彻底解决：

• 第一步：先执行以下命令定位漏洞包的引用链路，确认是哪些依赖引入了低版本的set-value和assign-deep

  npm ls set-value
  npm ls assign-deep
  

• 第二步：强制锁定安全版本，优先用npm 8.3及以上版本自带的overrides功能，无需额外安装工具
  在package.json中新增overrides字段，指定所有依赖调用这两个包时都使用安全版本：

  {
    "name": "你的项目名",
    "version": "x.x.x",
    // 原有配置保持不变，新增下面的overrides字段
    "overrides": {
      "set-value": "^2.0.1",
      "assign-deep": "^1.0.1"
    }
  }
  

• 第三步：清理缓存并重新安装依赖

  rm -rf node_modules package-lock.json
  npm install
  

• 第四步：验证修复结果
  执行npm audit检查高危漏洞是否已全部消除，再运行项目测试用例确认功能正常，避免版本变动带来的兼容性问题。

如果你的npm版本低于8.3不支持overrides，可以使用npm-force-resolutions工具实现同样的效果：在package.json中新增resolutions字段（内容和上面的overrides一致），再新增脚本配置"preinstall": "npx npm-force-resolutions"，之后重新安装依赖即可。

你手动修改所有低版本set-value为2.0.1的方案是临时可行的，但用overrides可以避免后续依赖更新时再次引入低版本漏洞包，适配性更强。

内容的提问来源于stack exchange，提问作者Leos Literak