[1 jekyll漏洞于2019年9月16日在Gemfile.lock中发现

Question

我在我的github页面分支中收到此消息：“ 2019年9月16日在Gemfile.lock中发现了1个jekyll漏洞。将jekyll升级到3.6.3版或更高版本。例如：gem“ jekyll”，“> = 3.6.3”以前也有很多问题，我使用nokogiri解决了这个问题，方法是将其更新到最新版本的gem，然后提交并推送。我已经将Jekyll更新到4.0版，然后提交并推送了整个站点，但错误没有消失。有什么建议么？我应该特别推送任何文件吗？谢谢

Answer 1

您的Gemfile没有正确更新，它仍然提到gem "jekyll", "~> 3.2.1"，在您的Gemfile.lock中也引用了它。

不过，如果您在github页面上发布，则唯一需要引用的gem是github-pages。

您的Gemfile内容：

source 'https://rubygems.org'
gem 'github-pages'

然后您可以执行bundle update并将您的代码推送到github，所有安全警告都将消失。

Answer 2

您的Gemfile已锁定到jekyll-3.2.x。

无论您运行bundle update多少次，您的锁文件都不会使用Jekyll 3.3及更高版本。要允许升级到v3.3.0及更高版本，但不能升级到v4.0.0，宝石列表必须为：

gem "jekyll", "~> 3.2"

---

了解以下内容：

• [gem "jekyll", "~> 3.2.1"与gem "jekyll", ">= 3.2.1", "< 3.3.0"]相同>
• [gem "jekyll", "~> 3.2"与gem "jekyll", ">= 3.2.0", "< 4.0.0"]相同>

---

---

上面说的，这里的正确举动是戴维·雅克（David Jacquel）在他的answer中所说的。让我总结一下他的意思：

• 更新您的Gemfile以仅列出github-pages gem
-该gem也包括所需的插件。
• 提交更新的Gemfile和Gemfile.lock。
• 将分支推送到远程存储库。