У меня есть приложение angular, все еще использующее angular 8.x. Я сталкиваюсь с уязвимостью проблемами в package-lock.json при выполнении следующей команды npm для проверки проблем зависимости:
npm audit --registry=https://registry.npmjs.org
Вывод:
# Run npm install --save-dev @angular/compiler-cli@9.0.6 to resolve 3 vulnerabilities
ПРЕДУПРЕЖДЕНИЕ ПО СЕМЕРЕ: Рекомендованное действие - это потенциально серьезное изменение ┌──────────────┬──────────────────────── ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ │ Умеренного │ Загрязнения прототипа │ ├───────────────┼───────────────────────────────────── ────────────────────────────────────┤ │ Пакет │ минималистский │ ────────────── ──┼─────────────────────────────────────────────── ─ ──────────────┤ │ Зависимость │ @ angular / compiler-cli [dev] │ ├─────────────────────┼──── ────────────────────────────────────────────────── ────────┤ │ Путь │ @ angular / compiler-cli> chokidar> fsevents> node-pre-gyp> │ │ │ mkdirp> минималистский │ ├───────────── ──┼─────────────────────────────────────────────── ───────────────┤ │ Подробнее │ https://npmjs.com/advisories/1179 │ └───────────────┴─── ────────────────────────────────────────────────── ─────────┘
┌──── ──────────┬─────────────────────────────────────── ───────────────────────┐ │ Умеренный │ Загрязнение прототипом │ ├─────────────────────┼─── ────────────────────────────────────────────────── ─────────┤ │ Пакет │ минималистский │ ├─────────────────────────────────────── ─────────────────────────────────────────────────┤ │ Зависимость │ @ angular / compiler-cli [dev] │ ├───────────────────────────────────────────── ─────────────── ──────────────────────┤ │ Путь │ @ angular / compiler-cli> chokidar> fsevents> node-pre-gyp> │ │ │ tar> mkdirp> минималистский │ ├───────────────┼──────────────────────────────────── ───────────────────────────────┤ │ Подробнее │ https://npmjs.com/advisories/1179
Чтобы исправить эти проблемы, мне нужно обновить до @angular/compiler-cli@9.0.x:
Запустить npm установить --save-dev @ angular / compiler-cli@9.0.6, чтобы устранить 3 уязвимости
, что я не могу, так как это может вызвать breaking change проблем.
Есть ли какое-либо исправление для этого типа уязвимости без обновления до angular 9 .xx?
Я искал и нашел похожий вопрос , но, похоже, это не та проблема. Решение состоит в том, чтобы обновить родительский пакет до package.json, что, как я уже сказал, не нужно делать на этом этапе разработки.