R用户遇到Github sparkline包相关JavaScript安全告警该如何处理？

问题原因 #

你之前运行的npm命令不生效，是因为告警涉及的jquery-sparkline是R包sparkline预打包在内部的静态前端依赖，不属于你项目根目录通过npm管理的依赖包，全局npm操作无法修改R包内置的文件。

自行临时修复方案 #

如果需要快速消除告警、不等待包维护者更新，可以采用以下两种方式：

• 本地使用场景：在R控制台运行.libPaths()找到你的R包安装目录，进入sparkline包对应的static/rmarkdown-libs/jquery-sparkline/路径，将整个文件夹内的文件替换为无安全漏洞的jquery-sparkline版本即可，该方案仅对本地当前安装的R包生效，重新安装sparkline包后修改会失效。
• 仓库推送场景：直接替换你项目目录下已经生成的static/rmarkdown-libs/jquery-sparkline/文件夹内容为安全版本，提交改动后GitHub安全扫描就不会再触发该告警。

长期彻底修复方案 #

该问题需要sparkline R包的维护者处理：当前CRAN和GitHub上发布的最新版sparkline包内置的jquery-sparkline依然是存在漏洞的旧版本，你可以前往该R包的GitHub仓库提交issue告知维护者升级对应前端依赖，待维护者发布新版本后更新R包即可永久解决该问题。

内容的提问来源于stack exchange，提问作者ixodid