GulpJS 3.9.1 在本地网络上使用安全吗？

Question

我已经使用 Gulp 一段时间了，最​​近我注意到在安装或更新软件包时会出现安全警告。我运行审核并获得了很多信息，但我不确定这是否特别适用于生产服务器，或者它是否也适用于本地服务器。

我也尝试过使用 gulp 4，它看起来不错，但我只是对 3.9.1 版本感到好奇，因为仍然存在一些差异。

我想简短的问题是 gulp 3.9.1 在本地环境中使用是安全的还是会产生安全问题？

Answer 1

我会说这是安全的。以下是我对报告的漏洞的看法：

• minimatch 模块有 4 个 Regular Expression Denial of Service 类型的高漏洞。这些主要与用户输入有关，Gulp 只是一个构建工具，我看不出它会受到什么影响

• Prototype Pollution 类型的低漏洞 lodash 模块。我不能肯定，但如果你在构建中加载一些未知的外部模块，你可能会受到影响，否则你会没事的。

无论如何，更新到 Gulp 4 应该可以消除所有疑虑。