當(dāng)您安裝的軟體包或其相依性中偵測到安全漏洞時(shí)，Github 會定期向您發(fā)送警報(bào)。我曾經(jīng)嘗試讓 dependentabot 為我修復(fù)它們。然而，有一半的時(shí)間我無法合併為我產(chǎn)生的 PR。結(jié)果，違規(guī)行為就被赤裸裸地處理了，這可不好。就我而言，我使用 pnpm，我想它與 npm 相同。
我今天看到了 Niraj Chauhan 的這篇文章，它讓我了解如何使用終端來解決這些問題。
步驟：
- 您從 Github 收到 dependentabot 警報(bào)：
- 我知道，上面螢?zāi)唤貓D中的套件名稱與文章的其餘部分不符。但這是關(guān)於步驟的，你明白了。
- 導(dǎo)航到電腦中的項(xiàng)目並執(zhí)行 pnpmaudit。您應(yīng)該會看到有關(guān)漏洞的詳細(xì)資訊：
在路徑部分，您應(yīng)該看到導(dǎo)致此問題的原因。就我而言，它似乎是“嵌套依賴項(xiàng)”（依賴項(xiàng)的依賴項(xiàng)）。
您可以執(zhí)行 pnpm Why NAME_OF_THE_EXTENSION 來確認(rèn)上述內(nèi)容。就我而言，當(dāng)我在第一個(gè)漏洞上運(yùn)行它時(shí)，我得到了這個(gè)：pnpm Why netmask
您可以嘗試運(yùn)行 pnpmauditfix，但它對我不起作用。
開啟 package.json 並更新導(dǎo)致此問題的套件版本 - 在我的例子中為 mailgun-js。您可以執(zhí)行 pnpm view NAME_OF_THE_PACKAGE versions 查看所有版本，或執(zhí)行 pnpm info NAME_PACKAGE version 以了解最新的穩(wěn)定版本。
如果不同，請使用您需要的版本編輯 package.json 文件，然後再次執(zhí)行 pnpm i。之後，再次執(zhí)行 pnpmaudit 以確認(rèn)漏洞已消失。如果它仍然存在，請重新開始或繼續(xù)閱讀。
就我而言，我安裝的是最新的穩(wěn)定版本，所以我需要採取另一種方法。
我們可以強(qiáng)制 pnpm 安裝特定版本的巢狀依賴項(xiàng)。 pnpm 文件在這裡，您可以在 package.json 檔案中這樣做：
- 我嘗試覆蓋的版本出現(xiàn)錯(cuò)誤，因此我在 package.json 檔案中寫入了最新版本：
- 執(zhí)行 pnpm i 和 happy days，該軟體包的漏洞不再存在。
編輯 25/10：根據(jù)此 Stackoverflow 線程，Github dependentabot 和 pnpm 審核來源都來自同一資料庫，因此您不會錯(cuò)過漏洞，而是以這種方式修復(fù)問題，而不是使用 dependentabot 工作流程。還有這篇文章。
以上是修正 JS 專案中的套件安全漏洞的步驟的詳細(xì)內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動(dòng)的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級程式碼編輯軟體(SublimeText3)
熱門話題
Java vs. JavaScript：清除混亂
Jun 20, 2025 am 12:27 AM
Java和JavaScript是不同的編程語言，各自適用於不同的應(yīng)用場景。 Java用於大型企業(yè)和移動(dòng)應(yīng)用開發(fā)，而JavaScript主要用於網(wǎng)頁開發(fā)。
JavaScript評論：簡短說明
Jun 19, 2025 am 12:40 AM
JavascriptconcommentsenceenceEncorenceEnterential gransimenting，reading and guidingCodeeXecution.1）單inecommentsareusedforquickexplanations.2）多l(xiāng)inecommentsexplaincomplexlogicorprovideDocumentation.3）
如何在JS中與日期和時(shí)間合作？
Jul 01, 2025 am 01:27 AM
JavaScript中的日期和時(shí)間處理需注意以下幾點(diǎn)：1.創(chuàng)建Date對像有多種方式，推薦使用ISO格式字符串以保證兼容性；2.獲取和設(shè)置時(shí)間信息可用get和set方法，注意月份從0開始；3.手動(dòng)格式化日期需拼接字符串，也可使用第三方庫；4.處理時(shí)區(qū)問題建議使用支持時(shí)區(qū)的庫，如Luxon。掌握這些要點(diǎn)能有效避免常見錯(cuò)誤。
為什麼要將標(biāo)籤放在的底部？
Jul 02, 2025 am 01:22 AM
PlacingtagsatthebottomofablogpostorwebpageservespracticalpurposesforSEO,userexperience,anddesign.1.IthelpswithSEObyallowingsearchenginestoaccesskeyword-relevanttagswithoutclutteringthemaincontent.2.Itimprovesuserexperiencebykeepingthefocusonthearticl
JavaScript與Java：開發(fā)人員的全面比較
Jun 20, 2025 am 12:21 AM
JavaScriptIspreferredforredforwebdevelverment，而Javaisbetterforlarge-ScalebackendsystystemsandSandAndRoidApps.1）JavascriptexcelcelsincreatingInteractiveWebexperienceswebexperienceswithitswithitsdynamicnnamicnnamicnnamicnnamicnemicnemicnemicnemicnemicnemicnemicnemicnddommanipulation.2）
JavaScript：探索用於高效編碼的數(shù)據(jù)類型
Jun 20, 2025 am 12:46 AM
javascripthassevenfundaMentalDatatypes：數(shù)字，弦，布爾值，未定義，null，object和symbol.1）numberSeadUble-eaduble-ecisionFormat，forwidevaluerangesbutbecautious.2）
什麼是在DOM中冒泡和捕獲的事件？
Jul 02, 2025 am 01:19 AM
事件捕獲和冒泡是DOM中事件傳播的兩個(gè)階段，捕獲是從頂層向下到目標(biāo)元素，冒泡是從目標(biāo)元素向上傳播到頂層。 1.事件捕獲通過addEventListener的useCapture參數(shù)設(shè)為true實(shí)現(xiàn)；2.事件冒泡是默認(rèn)行為，useCapture設(shè)為false或省略；3.可使用event.stopPropagation()阻止事件傳播；4.冒泡支持事件委託，提高動(dòng)態(tài)內(nèi)容處理效率；5.捕獲可用於提前攔截事件，如日誌記錄或錯(cuò)誤處理。了解這兩個(gè)階段有助於精確控制JavaScript響應(yīng)用戶操作的時(shí)機(jī)和方式。
Java和JavaScript有什麼區(qū)別？
Jun 17, 2025 am 09:17 AM
Java和JavaScript是不同的編程語言。 1.Java是靜態(tài)類型、編譯型語言，適用於企業(yè)應(yīng)用和大型系統(tǒng)。 2.JavaScript是動(dòng)態(tài)類型、解釋型語言，主要用於網(wǎng)頁交互和前端開發(fā)。
