ExcelJS依赖链中inflight漏洞的替代方案咨询

看起来你遇到的依赖链深层漏洞问题确实挺头疼的！结合你的React场景（读取xlsx、导出csv），给你两个可行的解决方向：

一、不换库，直接修复依赖链漏洞 #

你遇到的inflight漏洞是通过glob@7.2.3引入的，而glob在ExcelJS的依赖链里属于间接依赖。其实不用更换ExcelJS本身，你可以通过包管理器的依赖覆盖功能，强制把glob升级到不再依赖inflight的版本（glob@8.x及以上版本已经移除了inflight依赖）：

• 如果你用npm（8.x及以上版本），在项目的package.json中添加如下配置：

  "overrides": {
    "glob": "^8.1.0"
  }
  

• 如果你用Yarn，添加：

  "resolutions": {
    "glob": "^8.1.0"
  }
  

添加后重新执行npm install或yarn install，就能把依赖链里的旧版glob替换掉，从而消除inflight的漏洞风险。记得之后测试一下ExcelJS的读取xlsx、导出csv功能是否正常，确保没有兼容性问题。

二、更换替代库 #

如果实在不想继续使用ExcelJS，这里有几个适合React浏览器场景的替代方案：

• xlsx-populate：专注于xlsx文件的读取与操作，API设计直观，依赖链相对简洁，完全支持浏览器环境。读取xlsx后可以很方便地把表格数据转换成csv格式，完美适配你的需求。
• data-forge：这是一个功能强大的表格数据处理库，支持读取xlsx文件，自带数据转换能力，能轻松将读取到的表格数据导出为csv，同时依赖链的安全性表现也不错。
• 如果你想拆分工作流，也可以用papaparse（专门处理csv生成）搭配轻量xlsx读取库，比如@gribnoysup/xlsx-reader，前者负责把数据转成csv并导出，后者专注于xlsx文件的解析，组合起来更灵活，依赖也更可控。

备注：内容来源于stack exchange，提问作者R.Panjwani