运行npx create-react-app报5个漏洞，npm audit fix无效是否有严重影响？

漏洞影响评估 #

• 这5个漏洞均为开发阶段依赖的安全问题，不会被打包到线上生产代码中，对普通开发场景不会造成严重安全影响。
• 所有漏洞的类型都是拒绝服务类：css-what的高危DoS漏洞、glob-parent和browserslist的正则DoS漏洞，触发条件都需要攻击者能够向这些构建工具传入恶意的定制化输入，日常本地开发、正常使用React脚手架的场景下完全不会触及触发条件。
• npm audit fix无法自动修复是因为这些漏洞是create-react-app内置依赖的子依赖版本过低导致的，脚手架官方没有发版更新依赖的情况下，自动修复逻辑不能跨父依赖升级版本。

处理方案 #

无需处理也可以正常进行项目开发、运行和打包操作，不会受到任何影响。
如果要彻底清除漏洞提示，可按以下步骤操作：

1. 打开项目根目录的package.json文件，新增overrides字段强制指定安全版本：

{
  "name": "my-app",
  "version": "0.1.0",
  // 其他原有配置保持不变，新增下面配置段
  "overrides": {
    "css-what": "^5.1.0",
    "glob-parent": "^6.0.2",
    "browserslist": "^4.21.0"
  }
}

2. 删除项目根目录的node_modules文件夹和package-lock.json文件
3. 重新运行npm install，安装完成后执行npm audit就不会再提示上述漏洞。

内容的提问来源于stack exchange，提问作者Uzzy