如何升级vue-cli项目中的父级依赖包的子级依赖包的版本号？
有大佬知道如何升级vue-cli项目中的父级依赖包的子级依赖包的版本号吗？安全扫描说一些子级依赖包版本低是安全漏洞的漏洞组件？问题是父级组件的最新版本的子依赖就是很低的版本
升级子依赖包，通过安全检查
共有1个答案
在Vue CLI项目中，当你想升级父级依赖包的子级依赖包版本号时，通常会遇到一些挑战。这主要是因为npm或yarn等包管理工具并不总是能够直接升级子依赖的版本，除非父级依赖包本身已经更新了其依赖的版本。
以下是一些建议的步骤来处理这个问题：
- 检查父级依赖包的更新：
首先，你应该检查父级依赖包是否有新的版本发布，新版本可能已经解决了子级依赖包的安全问题。你可以通过运行npm outdated或yarn outdated来查看可升级的包，并使用npm view [package-name] versions或yarn info [package-name] versions来查看可用的版本。 - 直接修改
package.json：
如果父级依赖包没有更新，或者即使更新了也包含低版本的子依赖，你可能需要手动修改package.json文件中的版本号。找到包含低版本子依赖的父级依赖包，并尝试将其子依赖的版本号升级到更高的安全版本。但请注意，这可能会导致兼容性问题，因为新版本可能引入了不兼容的更改。 使用
npm-force-resolutions或yarn resolutions：
npm 7引入了npm-force-resolutions功能，而yarn则一直支持resolutions字段。这些功能允许你在项目的根package.json文件中强制指定某个依赖包的版本，即使它在另一个依赖的node_modules中被锁定为一个不同的版本。对于npm，你可以使用
npm install [package-name]@[version] --legacy-peer-deps来强制安装特定版本，并在package.json的resolutions字段中指定它。对于yarn，你可以在
package.json的resolutions字段中指定版本："resolutions": { "[parent-package-name]/[sub-package-name]": "^[desired-version]"}然后运行
yarn install来应用这些更改。- 联系父级依赖包的维护者：
如果升级子依赖包是一个普遍的需求，你可以考虑联系父级依赖包的维护者，询问他们是否有计划更新子依赖的版本，或者是否可以接受有关此问题的pull request。 - 安全扫描和测试：
在升级任何依赖包之后，尤其是与安全相关的依赖包，一定要运行完整的安全扫描和测试套件，以确保升级没有引入新的问题或漏洞。
请注意，直接修改package.json文件或强制解析依赖版本可能会导致项目在其它环境中（如CI/CD、其它开发者的机器等）出现问题，因此请确保在团队中充分沟通这些更改，并在合并到主分支之前进行充分的测试。
-
我有以下pom.xml：
-
然而，似乎什么也没发生。没有变化，控制台输出没有提到新版本（这就足够了）。 我的如下所示：
-
我有一个使用Spring Boot starter父代2.5.4的Spring Boot应用程序： 我可以看到在MavenSpring启动启动父2.5.4 它带来了一些我可以使用的依赖性。因此，我想清理手动添加到POM中的依赖项。 我删除了一些手动添加的依赖项，如assertJ...并且它可以工作，但是当我删除Lombok或Awaality时，例如，失败。为什么会发生这种情况？如果我再次添加依赖项
-
配置 jar 包需要在 compile 中添加响应依赖。下面的代码添加了 libs 文件夹中的所有 jar 作为依赖。 dependencies { compile fileTree(dir: 'libs', include: ['*.jar']) } android { ... } 注意：dependencies DSL 标签是标准 Gradle API 中的一部分，所以它不属于
-
我升级了我的AS，错误开始出现 我找了所有的地方，但我不能解决问题 这是我的构建。gradle（项目），脱机是未检查的，我做了无效和重启没有工作， 什么意思不能解决依赖？这是我在gradle（应用程序）中添加存储库时得到的结果
-
我正在寻找一种方法来收集给定项目的所有依赖约束（通过常规和/或和/或“手动”执行），从一个自定义Gradle插件。 在Maven world中，您可以解析“工件描述符”，该描述符将提供对工件上强制执行的所有托管依赖项的有效列表的访问。我到目前为止还找不到这种信息是如何在Gradle收集的。 有什么建议吗？谢谢！