有没有办法像npm审计报告一样查看Bower组件的漏洞？

Question

我试图找出是否有一种方法可以获得所有 Bower 软件包的漏洞报告，例如当您运行 npm 审计时，您会获得易受攻击的依赖项的完整报告。 如果有人知道的话那就太棒了。

我尝试过 google、youtube 和 snyk，到目前为止还没有成功

Answer 1

不幸的是，没有可以为 Bower 运行的等效命令。 如果您的依赖项数量相对较少，您可以运行

bower list

来获取依赖项列表，然后根据已知漏洞手动检查版本，但最好的方法可能是从 Bower 迁移到另一个包管理器（例如 Yarn）或 NPM。

Bower 本身建议切换到 Yarn 并且有像 [bower-away](https://github.com/sheerun/bower-away 之类的工具可以帮助完成此过程。

迁移到 Yarn 或 NPM 后，您将能够运行他们的审核工具。

即使您实际上并未使用新的包管理器运行应用程序，这也可能很有用，因为您只需将其设置为可以针对可比依赖项列表运行审核的状态 - 它可能无法帮助您结果相同，但足以帮助突出有问题的包。