Npm漏洞无法修复
我开始学习react，并通过运行以下程序创建了我的第一个应用程序：
npx创建-反应-应用程序我的应用程序
应用程序建成后，我在终端上收到一个警告，上面写着：
22个漏洞（9个中度，13个高度）
我试图通过运行以下命令来修复它：
“npm审核修复程序”
但它返回了这个：
npm错误！代码ERE解决npm错误！ERESOLVE无法解析依赖关系树npm错误！npm错误！发现：类型-fest@0.21.3npm错误！节点\模块/类型fest npm ERR！从ansi输入fest@“^0.21.3”-escapes@4.3.2npm错误！节点\模块/ansi转义npm错误！ansi从@jest转义“^4.2.1”/core@26.6.3npm错误！node_modules/@jest/core npm ERR@来自的jest/core@“^26.6.0”jest@26.6.0npm错误！节点\模块/jest npm错误！来自jest watch的peer jest@“^26.0.0”-typeahead@0.6.1npm错误！节点\模块/jest watch typeahead npm错误！还有1个（反应脚本）npm错误！还有一个（笑话cli）npm错误！ansi从jest watch中转义“^4.3.1”-typeahead@0.6.1npm错误！节点\模块/jest watch typeahead npm错误！来自react的jest watch typeahead@“0.6.1”-scripts@4.0.3npm错误！节点\模块/反应脚本npm错误！根项目npm ERR中的react脚本@“4.0.3”！还有2个（笑话观察者，终端链接）npm错误！npm错误！无法解析依赖项：npm错误！来自@pmmmwh/react刷新网页的主题类型fest@“^0.13.1”-plugin@0.4.3npm错误！node_modules/@pmmmwh/react刷新网页包插件npm ERR@pmmmwh/react刷新网页包插件@来自react的“0.4.3”-scripts@4.0.3npm错误！节点\模块/反应脚本npm错误！根项目npm ERR中的react脚本@“4.0.3”！npm错误！修复上游依赖项冲突，或重试npm ERR！此命令带有--force或--legacy peer deps npm ERR！接受不正确（且可能已损坏）的依赖项解析。npm错误！npm错误！有关完整报告，请参阅/home/azizdragon/.npm/eresolve-report.txt。
npm错误！此运行的完整日志可在以下位置找到：npm ERR
/home/azizdragon/.npm/_logs/2021-06-23T03_09_31_663Z-debug.log
我试图删除package-lock.json文件和node_modules文件夹并运行：
npm安装
但它导致了同样的漏洞，以下是我运行“npm审计”时的报告：
browserslist 4.0.0-4.16.4严重性：中度正则表达式拒绝服务-https://npmjs.com/advisories/1747 通过npm审计修复程序提供的修复程序--force将安装react-scripts@1.1.5，这是一个突破性的更改节点\u modules/react dev utils/node\u modules/browserslist react dev utils
CSS-什么
全局父代
归一化url
22个漏洞（9个中度，13个高度）
要解决不需要注意的问题，请运行：npm audit fix
要解决所有问题（包括破坏性更改），请运行：npm audit fix--force
我应该使用npm审计补丁--force吗？如果有帮助，我运行Linux薄荷18.3肉桂64位节点版本： v16.0.0 NPM版本： 7.18.1
提前谢谢。
共有1个答案
正如Matthew Daly在这篇博客文章npm审核后的评论中提到的：Dan Abramov的Broken by Design，大多数或可能所有的警告都与开发依赖相关，因此它们不会影响您的生产构建，您不需要担心修复它们在所有。
这并不意味着开发依赖项的漏洞在任何情况下都是无害的，每个包和每个版本。
根据我的经验，大多数时候没有办法使用npm审计解决所有问题，几乎总是使用npm审计-force会使情况变得更糟，破坏您的应用程序。
因此，当我安装最新版本的广受欢迎、高度维护的软件包（如create react app）时，我会忽略这些警告。
当然，像CRA这样的库的维护者知道这些警告，如果它们是严重的，他们会立即修复它们。
确保这些警告无害的另一种方法是检查创建-反应-应用程序或任何其他库的报告问题，并查看响应是什么。
我强烈推荐你阅读上面提到的文章，npm审计：被设计打破。
-
问题内容： 当我运行它说npm audit fixnpm audit。 但是，输出 这是否意味着它不应该由用户修复？ 当我运行它时，它会给我表的列表，类似于此： 在此示例中，链接页面的补救部分说。但是，其中有几行： 不再有lodash依赖项。因此它应该已经是v4.17.5。我还检查了哪条线。在有这些线路： 我认为该版本显示在“ _id”中，而不是在“ _from”中，因此版本是正确的，但漏洞仍会出
-
Checkmarx在我的Controller类中为以下方法提供了XSS漏洞。具体来说：此元素的值（ResultsVO）随后在代码中流动，而没有经过适当的清理或验证，最终在方法中显示给用户： ResultsVO对象有很多String属性，我只是想知道是否有一种优雅的方法来编码它们以防止此漏洞。
-
在我创建了一个新的Angular 12.0.3项目后，立即检测到8个高漏洞和40个中等漏洞。 当尝试使用修复问题时，没有任何变化。将漏洞减少到9个中度漏洞和7个高度漏洞，但当我尝试运行项目时，由于版本不匹配，会显示以下错误： 我已经尝试按照此答案中描述的解决方案修复漏洞，但这破坏了项目。 此外，我使用angle-cli的v11-lts创建了一个项目，但同样的问题伴随着不同的漏洞： 有没有办法，修复
-
讲师：gh0stkey 整理：飞龙 协议：CC BY-NC-SA 4.0 任意密码找回 这是补天平台上的一个案例： http://www.118114.cn/reg.jsp 首先注册一个账号，然后找回。 我们收到的验证码是六位数。如果网站没有设置频率限制，或者最大尝试次数限制的话，那我们自然就会想到可以爆破它。 然后抓提交手机验证码的封包，我们可以看到没有任何图片验证码： 发送到 Burp 的 I
-
尝试为旧版spring boot应用程序更新log4j2（使用spring-boot-parent-1.5.6.RELEASE）——使用多模块 尝试了spring在最近的文档中建议的所有方法，但都没有奏效 已尝试选项： 选项1-添加到属性 选项2-添加starter-log4j2并排除核心，稍后添加log4j核心（最新） 选项3-仅上述选项和log4j2 api 但是导入的依赖项仍然是slf4j-