在 npm install 上发现 4 个漏洞

Question

我刚刚开始使用 react-native。在安装这个包

npm install --save react-native-validator-form

https://github.com/NewOldMax/react-native-validator-form/issues/3

系统提示我

npm audit

并向我展示了 4 个漏洞（上面列出）

运行 2 个辅助命令后，提示我还有另外 2 个漏洞（见链接）

如何解决剩余的问题？

更新相应的 npm 包没有用。

不确定如何进行？

Answer 1

这是包含审计命令的新 npm 版本的结果。

这不是 Angular CLI 的一些新问题，npm 只是在 npm 中引入了新功能来警告用户他们正在安装的包中的漏洞——所以 Angular 中没有“新”漏洞，只是现在 npm 现在是警告你已经存在的漏洞：

https://blog.npmjs.org/

大部分问题都源于 Karma，因此 Angular 团队需要修复它才能引入新的 Karma 版本 karma-runner/karma#2994

Answer 2

如果你已经运行了

npm audit

并且得到了漏洞，那么你可以有不同的场景：

在建议的更新中发现安全漏洞

• 运行 npm audit fix 子命令以自动为易受攻击的依赖项安装兼容更新。

• 单独运行推荐的命令以安装易受攻击的依赖项的更新。 （一些更新可能是破坏性的更改；有关更多信息，请参阅“SEMVER 警告”。）

发现需要人工审查的安全漏洞

• 如果发现安全漏洞，但没有补丁可用，审计报告将提供有关漏洞的信息，以便您进一步调查。

资料来源：审查安全审计报告并采取行动

Answer 3

即使在运行

npm audit fix

之后，如果它没有修复，那么继续我认为你应该关闭 npm 审计。使用以下命令关闭 npm 审计。

安装单个包时。

npm install example-package-name --no-audit

安装所有包时关闭 npm 审计

npm set audit false

它将在您的用户和全局 npmrc 配置文件中将审核设置设置为 false。

参考访问：turn-off-npm-audit

Answer 4

我有同样的问题，日志如下：

Testing binary
Binary is fine
added 1166 packages from 1172 contributors and audited 39128 packages in 112.505s
found 1 high severity vulnerability

我执行了下面的命令，它被修复了。

npm audit fix

log如下所示：

Testing binary
Binary is fine
+ @angular-devkit/[email protected]
added 18 packages from 47 contributors, removed 14 packages and updated 52 packages in 64.529s
fixed 1 of 1 vulnerability in 39128 scanned packages

Answer 5

我在安装

react-native navigation

时遇到了同样的问题，使用：

npm install react-navigation

对我来说，

npm audit-fix

效果不佳。 npm 使用有一些限制。对我来说，纱线有效：

yarn add <package-name>

Answer 6

我在运行这个命令时遇到了同样的问题：

npm install ngx-bootstrap --save

...并通过以 Administrator 身份运行命令提示符来解决它。

所以以管理员身份打开命令提示符，然后重试。希望它能奏效。