如何更新npm中存在安全漏洞的嵌套依赖？

别担心，嵌套依赖的安全更新确实是日常开发里挺常见的小困扰，我给你整理几个靠谱的解决方案，你可以根据自己的情况选：

1. 强制锁定依赖版本（最直接快速） #

主流包管理工具都支持强制指定某个嵌套依赖的版本，不管它在依赖树里的层级：

• npm/yarn：在package.json里添加resolutions字段（yarn原生支持，npm需要配合npm-force-resolutions工具）
  比如要把存在漏洞的lodash强制更新到4.17.21，就在package.json中添加：

  "resolutions": {
    "lodash": "4.17.21"
  }
  

  npm用户需要额外在scripts里加一个预安装命令：

  "scripts": {
    "preinstall": "npx npm-force-resolutions"
  }
  

  之后重新执行npm install或yarn install，工具就会自动把嵌套的目标依赖替换成指定版本。
• pnpm：使用pnpm.overrides字段，同样在package.json中配置：

  "pnpm": {
    "overrides": {
      "lodash": "4.17.21"
    }
  }
  

  执行pnpm install即可生效。

2. 更新上层依赖（更稳妥的长期方案） #

嵌套依赖出现漏洞，往往是因为它的直接上层依赖没有及时更新到包含修复版本的子依赖。你可以这么做：

• 先定位上层依赖：用npm ls <依赖名>、yarn list <依赖名>或pnpm list <依赖名>命令查看依赖树，找到最靠近项目根目录的那个依赖包（也就是直接引入嵌套依赖的包）。
• 检查上层依赖的最新版本：如果它已经更新了子依赖的安全版本，直接把上层依赖升级到最新版，嵌套依赖自然会跟着更新。
• 如果上层依赖还没修复，你可以去它的仓库提issue甚至PR，提醒维护者处理这个安全问题，这也是参与开源社区的小贡献哦。

3. 临时应急规避（特殊情况用） #

如果暂时没法完成版本更新，可以先做应急处理：

• 仔细看漏洞的详细描述，确认你的代码是否真的用到了存在风险的API。如果没用到，那暂时不会有实际风险，可以等后续合适的时机再更新。
• 部分包管理工具支持忽略特定安全警告，比如npm可以尝试npm audit fix --force自动修复，但这个命令可能会更新不兼容的版本，一定要先备份代码再操作。

内容的提问来源于stack exchange，提问作者U r s u s