npm force package-lock 更新子依赖包

Question

由于一些代码漏洞，我正在尝试更新子依赖项。包是snapdragon，目前我安装的是0.8.2版本，但我想升级到最新的0.12.0。

我已经更新了所有需要 snapdragon 作为依赖项的包。现在根据那些包 package.json 他们需要"^0.8.1"，这也应该支持0.12.0。

这是npm ls snapdragon的结果：

├─┬ nodemon@1.19.2
│ └─┬ chokidar@2.1.8
│   └─┬ braces@2.3.2
│     └── snapdragon@0.8.2  deduped
└─┬ webpack@4.40.2
  └─┬ micromatch@3.1.10
    ├─┬ extglob@2.0.4
    │ ├─┬ expand-brackets@2.1.4
    │ │ └── snapdragon@0.8.2  deduped
    │ └── snapdragon@0.8.2  deduped
    ├─┬ nanomatch@1.2.13
    │ └── snapdragon@0.8.2  deduped
    └── snapdragon@0.8.2 

我尝试过运行npm update snapdragon，我还尝试了一个没有包锁但没有运气的新npm install。最终，我决定强行安装snapdraon@0.12.0，但现在看来我有未满足的依赖关系。

├─┬ nodemon@1.19.2
│ └─┬ chokidar@2.1.8
│   └─┬ braces@2.3.2
│     └── UNMET DEPENDENCY snapdragon@^0.8.1
├── snapdragon@0.12.0 
└─┬ webpack@4.40.2
  └─┬ micromatch@3.1.10
    ├─┬ extglob@2.0.4
    │ ├─┬ expand-brackets@2.1.4
    │ │ └── UNMET DEPENDENCY snapdragon@^0.8.1
    │ └── UNMET DEPENDENCY snapdragon@^0.8.1
    ├─┬ nanomatch@1.2.13
    │ └── UNMET DEPENDENCY snapdragon@^0.8.1
    └── UNMET DEPENDENCY snapdragon@^0.8.1

要求^0.8.1不应该接受版本0.12.0吗？如何指示 package-lock 将包更新到最新版本？

Answer 1

我无法回答 carret 问题，但关于标题的主题（强制 npm 更新子依赖项），我们遇到了与 puppeteer > extract-zip > mkdirp > minimist 类似的问题，其中 minimist 存在安全漏洞。它已升级，mkdirp 也已升级，但在撰写本文时，extract-zip 还没有。

在package.json 的scripts 条目下使用npx npm-force-resolutions 似乎已经解决了（尽管不是很理想）该漏洞

$ git diff package.json 
diff --git a/package.json b/package.json
index cf825cf..0d694b3 100644
--- a/package.json
+++ b/package.json
@@ -8,8 +8,13 @@
     "lib": "lib" 
   },
   "scripts": {
+    "preinstall": "npx npm-force-resolutions",
     "test": "echo \"Error: no test specified\" && exit 1" 
   },
+  "resolutions": {
+    "minimist": "1.2.3",
+    "mkdir": "0.5.3" 
+  },

然后运行npm install：

$ npm install && npm audit

> sge@1.0.0 preinstall /home/jlam/code/prjName
> npx npm-force-resolutions

npx : 5 installé(s) en 5.733s
added 1 package from 1 contributor, removed 1 package and audited 72 packages in 7.212s

[...]


found 0 vulnerabilities
[...]

                       === npm audit security report ===                        

found 0 vulnerabilities
 in 72 scanned packages

Answer 2

我这样做了，但仍然遇到与以前相同的错误。为什么？我对此很陌生。

在 3522 个扫描包中发现 1 个低严重性漏洞 1 个漏洞需要人工审核。有关详细信息，请参阅完整报告。 ➜ web-dev-starter git:(master) ✗ npx npm-force-resolutions npx：在 1.27 秒内安装 5 个 ➜ web-dev-starter git:(master) ✗ npm install 在 1.712 秒内审核了 3522 个包

2 个软件包正在寻找资金 运行npm fund了解详情

发现 1 个低严重性漏洞 运行npm audit fix 来修复它们，或者运行npm audit 了解详情 ➜ web-dev-starter git:(master) ✗ npm 基金 js-starter-code@1.0.0 ├─┬https://github.com/sponsors/isaacs │ └── glob@7.1.6 └─┬https://github.com/sponsors/ljharb └── resolve@1.15.1

➜ web-dev-starter git:(master) ✗

我不知道这些人或这个 git hub 是谁。我必须加入会员才能获得代码吗？这是什么？