Github informuje mnie, że zależność w moim pliku package-lock.json jest podatna na atak i nieaktualna. Problem polega na tym, że jeśli robię npm installlub npm updateżadna z nich zaktualizować zależność w pliku pakiet-lock.json.
Dużo googlowałem, a także usunąłem plik i gotowe npm install.
Jeśli ktoś może pomóc rozwiązać ten problem, byłbym bardzo wdzięczny. Ten pakiet to Hoek, którego w rzeczywistości nie mam w pliku package.json.
Z góry bardzo dziękuję.
Odpowiedzi:
Wygląda na to, że Hoek jest zależnością jednej z twoich zależności (więc pakiet, który masz w swoim package.json, wymaga tego z własnego pliku package.json).
Próbowałeś już usunąć / ponownie zainstalować i zaktualizować zależności projektu bez powodzenia, więc wydaje się, że dana zależność pakietu ma określoną jawną lub maksymalną wersję.
Bez zobaczenia pliku package.json dla każdej z zależności, byłoby trudno doradzić dalsze, jak wymusić aktualizację.
Edycja:
aby pomóc Ci zidentyfikować, które pakiety używają jakich zależności, możesz użyć lspolecenia NPM : https://docs.npmjs.com/cli/ls
Na przykład, aby zobaczyć, które pakiety używają Hoek:
npm ls hoek
Edycja 2:
Jak poprawnie wskazuje Ulysse BN, jeśli masz NPM w wersji 6 lub nowszej, możesz npm audit fixpoprosić NPM o próbę naprawy luk za Ciebie.
Edycja 3: Ci, którzy to czytają, powinni również sprawdzić odpowiedź JBallina poniżej. Rozszerza informacje, które tu podałem i jest (moim zdaniem) bardziej uporządkowaną odpowiedzią, która lepiej odpowiada na pytanie OP. Jednak - jeśli chcesz szybkiego rozwiązania - ta odpowiedź powinna wystarczyć.
package.jsonco zależy od konkretnej (podatnej na ataki) wersji Growl. Twoja odpowiedź jest na dobrej drodze i być może mógłbyś ją znaleźć, gdybyś udostępnił polecenie, które pokaże, który pakiet (y) package.jsonzależy od tego, który zawiera luki package-lock.json.
TLDR: Zaktualizuj pakiet nadrzędny przy użyciu npm i $PARENT_PKG_NAME.
Uwaga
Podczas aktualizowania zależności należy przejrzeć dziennik zmian pod kątem wszelkich istotnych zmian.
Diagnoza
npm auditujawni zarówno podatny pakiet (pamiętaj, że będziesz potrzebować do tego pliku package-lock.json, więc będziesz musiał uruchomić npm i), jak i pakiet, od którego jest zależny (jeśli dotyczy). Zauważ, że możesz również użyć, npm ls $CHILD_PKG_NAMEaby zobaczyć jego zależności nadrzędne.
Próba szybkiej naprawy
npm audit fixi npm audit fix --forcewarto spróbować, ale czasami naprawa będzie musiała zostać wykonana ręcznie (patrz poniżej).
Naprawa ręczna
Najprawdopodobniej pakiet nadrzędny już naprawił swoje zależności (możesz to sprawdzić, przechodząc do ich GitHub i przeglądając ostatnie zatwierdzenia - lub po prostu sprawdzając, czy to naprawia), więc możesz po prostu uruchomić npm i $PARENT_PKG_NAME @$NEW_VERSIONi zaktualizować blokadę pakietu .json.
Jeśli rodzic nie naprawił usterki
Jeśli opiekun wydaje się nie reagować, możesz rozważyć użycie alternatywnego pakietu, który osiąga to samo lub rozwidlenie pakietu i samodzielną aktualizację luki.
Zweryfikuj poprawkę
Możesz teraz sprawdzić, czy zadziałało, uruchamiając npm auditi upewniając się, że nie pojawiają się żadne luki. Zatwierdź zmiany, prześlij je do GitHub, odśwież powiadomienia / alerty i powinny zniknąć!
Jeśli masz npm @ 6 lub nowszy, możesz użyć go npm audit fixze względów bezpieczeństwa.
Aby sprawdzić wrażliwe pakiety npm, użyj następujących poleceń:
npm audit
Aby naprawić wrażliwe pakiety npm, po prostu użyj następujących poleceń, które naprawią również pakiet-lock.json:
npm audit fix
Edytuj package-lock.jsonręcznie i zaktualizuj podatną wersję pakietu do poprawionej, a następnie użyj
npm ci
Spowoduje to zainstalowanie pakietów zgodnie z najpierw package-lock.jsonignorowaniem package.json. Następnie użyj
npm audit fix
ponownie, aby mieć pewność, że zostało to prawidłowo wykonane. Jeśli to nie pomoże, zastosuj inne podane rozwiązania.
Więcej informacji tutaj:
https://blog.npmjs.org/post/171556855892/introducing-npm-ci-for-faster-more-reliable
lub tutaj: https://docs.npmjs.com/auditing-package-dependencies-for-security-vulnerabilities