超级代理安全漏洞

Question

收到来自 GitHub 的警告，超级代理 v3.5.2 存在低级安全风险。 Superagent 是与square-connect npm 一起安装的依赖项。是否应该手动升级它，还是应该不理会它，因为它是按照 Square 的 API 下载的。

Known low severity security vulnerability detected in superagent <3.7.0 defined in package-lock.json.
package-lock.json update suggested: superagent ~> 3.7.0.

应用程序正在使用以下依赖项运行：

"square-connect": "^2.20180918.0"

Answer 1

我认为最好是直接在their github 上打开一个问题。

如果通过测试，您甚至可以使用升级后的依赖项提交拉取请求。

是否应该手动升级

AFAIK 没有标准方法可以用 npm 覆盖嵌套依赖项。 即使你npm install superagent@3.7.0，它仍然会保留另一个版本作为square-connect的依赖。

Yarn 通过package.json 中的resolutions 条目支持它：

{
  "resolutions": {
    "superagent": "3.7.0"
  }
}

但这不适用于npm。