npm提示存在未解决漏洞如何处理？Angular 12+ASP.NET Core项目升级问询

你扫到的所有漏洞都属于开发构建依赖链范畴，不存在生产环境的实际安全风险，不需要过度担心。

Angular 12能够正式发布的原因 #

npm audit默认会扫描所有依赖包括devDependencies（开发依赖），你提供的漏洞链最终都指向@angular-devkit/build-angular这个Angular官方构建工具包，相关的css-what、glob-parent、trim-newlines等包都只会在本地/CI环境执行打包构建逻辑时调用，不会被打包到最终上线的前端代码中，也不会在生产环境的运行时被加载，普通用户完全接触不到这部分逻辑，不存在被DoS攻击的可能。
Angular官方的正式版本发布标准只限制生产运行时依赖不能有未修复的高危漏洞，第三方构建依赖的非生产影响漏洞不会作为版本发布的拦截条件，因此Angular 12的正式发布符合官方的版本质量标准。

Angular 12生产环境部署策略 #

• 漏洞排查优先过滤开发依赖：执行npm audit --production仅排查生产运行时依赖的漏洞，你当前扫到的16个告警都会被过滤掉，无生产环境漏洞风险。
• 规范生产构建流程：使用官方指定的生产构建命令ng build --configuration production，命令会自动执行tree-shaking、死代码剔除、资源压缩等优化，最终输出的dist目录仅包含业务代码和Angular核心运行时依赖，完全不涉及构建链相关的包。
• 按需消除构建链告警（满足企业安全合规要求）：
  • 替换废弃依赖：将node-sass替换为官方推荐的dart-sass（npm包名为sass），即可消除trim-newlines相关的漏洞链，Angular 12已原生支持dart-sass，无兼容性问题。
  • 强制指定依赖版本：在package.json中新增overrides配置，强制将css-what升级到≥5.0.1版本、glob-parent升级到≥5.1.2版本，测试构建流程正常后即可消除所有相关告警，Angular 12的构建工具链兼容这几个包的高版本。
• 部署环节安全规范：生产服务器仅部署ng build输出的dist目录下的静态资源、以及ASP.NET Core后端编译后的运行文件，禁止将整个node_modules目录上传到生产环境；配合ASP.NET Core的静态文件中间件开启CSP、X-XSS-Protection等安全响应头，进一步提升运行时安全性。
• 小版本升级优化：可升级到Angular 12的最新修订版本，后续的小版本更新已经官方修复了构建链的所有依赖漏洞，大版本不变的前提下升级小版本几乎不会引入兼容性问题。

内容的提问来源于stack exchange，提问作者Boppity Bop