NPM обновление зависимостей зависимостей

Question

У меня сейчас проблема с обновлением NPM пакета tree-kill, которое является зависимостью от @ angular -devkit / build- angular. У tree-kill 1.2.1 есть уведомление о безопасности, выданное https://nodesecurity.io/advisories/1432, которое в настоящее время не позволяет собрать сборки в моем конвейере CI, так как конвейер включает в себя «npm audit --audit-level high».

Мне нужно обновить tree-kill до 1.2.2 для решения вопросов безопасности, но я уже использую последнюю версию @ angular -devkit / build- angular и мой пакет-блокировка. json имеет tree-kill 1.2.1, как требуется для @ angular -devkit / build- angular.

Я попытался удалить и установить @ angular -devkit / build- angular, чтобы проверить, Патч tree-kill 1.2.2 будет установлен. Я также пытался это Npm обновить зависимость в Node.js, что привело к пакету. json имел зависимость от tree-kill 1.2.2 и package-lock. json все еще имел 1.2.1 для @ angular -devkit / build- angular.

Как обновить блокировку пакетов. json, чтобы @ angular -devkit / build- angular Требуется убить дерево 1.2.2 вместо 1.2.1?

Answer 1

https://github.com/angular/angular-cli/issues/16629#issuecomment -573837093 - это комментарий, опубликованный в репо Angular git, в котором описан временный обходной путь обновления зависимостей до тех пор, пока сопровождающий пакета не выпустит новую версию. Примечание: это только временный обходной путь, и он будет отменен, если будет выпущена более новая версия angular, которая не требует уничтожения деревьев 1.2.2