如何手动修复npm漏洞？

当我运行npm install它说found 33 vulnerabilities (2 low, 31 moderate) run `npm audit fix` to fix them, or `npm audit` for details。

但是，npm audit fix输出up to date in 11s fixed 0 of 33 vulnerabilities in 24653 scanned packages 33 vulnerabilities required manual review and could not be updated

这是否review意味着它不应该由用户修复？

当我运行npm audit它时，它会给我表的列表，类似于此：

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ browser-sync [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ browser-sync > easy-extender > lodash                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/577                       │
└───────────────┴──────────────────────────────────────────────────────────────┘

在此示例中，链接页面的补救部分说Update to version 4.17.5 or later.。但是，/node_modules/browser-sync/package.json其中有几行：

"devDependencies": {
    "lodash-cli": "4.17.5",
}

不再有lodash依赖项。因此它应该已经是v4.17.5。我还检查了/node_modules/lodash/lodash.json哪var VERSION = '4.17.10';条线。在/node_modules/lodash/package.json有这些线路：

  "_from": "lodash@^4.17.4",
  "_id": "lodash@4.17.10",

我认为该版本显示在“ _id”中，而不是在“ _from”中，因此版本是正确的，但漏洞仍会出现在审核列表中。

我仍然是node.js的新手，这些消息使我非常困惑。有什么办法可以手动修复它或摆脱那些消息，我无能为力？

lodash-cliindevDependencies不会影响browser-sync项目的工作方式，devDependencies将软件包作为依赖项安装时将被忽略。

什么audit报告说的是，这是easy-extender有lodash依赖性：

browser-sync > easy-extender > lodash        

它取决于Lodash 3，而该问题已在Lodash 4中得到解决。可以通过分叉easy-extender，更新和安装它来代替NPM公共注册表中的软件包来解决此问题。但是这种依赖性没有真正的问题。

audit报告重要性应手动评估。即使嵌套的依赖项具有安全风险，也并不意味着已使用引入此风险的功能。这也不意味着即使使用它，也会由于使用方式而带来实际风险。

browser-sync是在生产中不使用的开发工具，没有太多可以利用其漏洞的方案。和原型污染是不是所有漏洞，只是一个通知，一包不遵循良好的做法，可以忽略不计。

通常，这是修复报告的漏洞的方法：

• 做一个健全性检查
• 如果是真正的问题，请检查易受攻击软件包的存储库以获取现有问题和PR
• 如果没有，请提交问题
• 分叉存储库或使用现有PR作为git依赖项，直到在NPM版本中对其进行修复
• 如果嵌套依赖项，则在多个嵌套级别上执行此操作

多数情况下，预计您不会超越健全性检查标准。

patch-package可以帮助就地修补嵌套的依赖关系，但这不会影响audit报告。

如果您完全确定要跳过审核，则可以通过附加--no-audit来完成

 npm install --no-audit

'npm audit fix'将增加package.json中依赖项的版本，这可能会导致代码中断。因此，更好的方法是打开package-lock.json并将依赖关系/子依赖关系版本更新为所需版本。在存储库中维护package-lock.json。

有时，这些漏洞来自开发人员软件包，在这种情况下，请忽略这些漏洞，因为这些漏洞不会在生产中被发现。

我的系统中发生的大多数问题是由于npm软件包引起的。我试过了，

npm un npm

您无需再次安装。

再次运行程序。它为我工作。