Windows Cygwin环境下npm执行audit fix仍无法更新旧版本mongodb依赖

问题根因 #

低版本mongodb无法升级和你的Cygwin环境、npm配置没有关系，核心是传递依赖的版本约束锁死了版本：
从npm list mongodb的输出可以明确看到，你项目中的mongodb是顶层依赖express-sessions@1.0.1的子依赖mongoose@3.9.7引入的，mongoose 3.9.7版本本身就内置了mongodb@1.x的依赖限制，不可能兼容更高版本的mongodb。加上express-sessions已经停止维护超过10年，没有适配高版本依赖的更新，所以即使用npm audit fix --force也无法突破传递依赖的版本规则。

解决思路 #

1. （推荐）替换废弃的express-sessions包 #

express-sessions是已经被废弃的旧包，现在官方维护的express会话方案为express-session，搭配MongoDB存储时可以使用connect-mongo适配器，从根源解决依赖漏洞问题：

• 先卸载旧依赖：

npm uninstall express-sessions

• 安装新的维护中依赖：

npm install express-session connect-mongo

• 调整项目中session初始化的代码适配新包的API即可。

2. （兼容方案）强制覆盖传递依赖版本 #

如果你暂时无法替换express-sessions，可以用npm的overrides特性强制指定子依赖的版本：

• 首先将npm升级到8.3.0以上版本（你的当前版本为7.22.0，不支持overrides特性）：

npm install -g npm@latest

• 在项目的package.json中新增overrides字段：

{
  // 保留原有package.json的所有配置，新增以下内容
  "overrides": {
    "express-sessions": {
      "mongoose": "^6.0.0",
      "mongodb": "^4.17.0"
    }
  }
}

• 删除项目根目录下的node_modules文件夹和package-lock.json文件，重新执行npm install即可。
  注意：强制覆盖版本可能会导致旧的express-sessions出现兼容性问题，需要自行测试相关功能是否正常运行。

3. 根因验证操作 #

你可以执行以下命令确认依赖约束规则：

npm view mongoose@3.9.7 dependencies

返回结果会明确显示该版本mongoose依赖的mongodb版本为1.x区间，即可验证上述根因判断无误。

内容的提问来源于stack exchange，提问作者kovacsbv