修复 npm 漏洞

Question

我正在学习 TypeScript 教程。
不幸的是，这些软件包已经过时，我收到了有关漏洞的警告。

我遵循了 npm check and update package if need 的一系列建议，即：

• npm 审核修复
• < code>npmauditfix --force
• npmupdate

npmaudit 表示还剩下 24 个漏洞。
但上述命令都无法修复它们。

npm outdated 导致没有输出。

易受攻击的软件包是：

ansi-regex
glob-parent
node-forge
nth-check
postcss

我实际上不知道为什么它们是我的项目的一部分。 我的 package.json 中没有它们。

修复这些漏洞的后续步骤是什么？

以下是我尝试过的。

• 如何修复 npm 漏洞？ 没有答案。
• 手动将 package.json 中的依赖项更新为较新版本，然后运行 ​​npm install。它没有效果。
• 按照建议删除 package-lock.json 此处，然后再次运行 npm install。
• 添加“ansi-regex”：“^ 6.0.1”，“glob-parent”：“^ 6.0.2”，“node-forge”：“^ 1.3.0”，“nth-check”：“ ^2.0.1", "postcss": "^8.4.12" 作为 devDependency 并运行 npm install。
• 按照如何修复 npm 漏洞中的建议运行npm @latest。
• 如何修复 npm 漏洞？尝试了两种方法，问题依旧
  没有任何新的建议。
• 在检查 npm 审核时，我发现了 5 个中等严重程度的漏洞
  这也没有建议任何新命令。
• 运行 npm update glob-parent --depth 2 只是为了发现 --depth 已被弃用，并且 npm 始终 更新任何深度 [GitHub]。
• 运行 npm prune。
• 删除 node_modules 文件夹并再次运行 npm install。

您可以在空目录中使用以下 package.json 并运行 npm install 来重现我的最新状态。

{
  "name": "pacman",
  "version": "0.0.1",
  "description": "I just follow a tutorial. Nothing of interest.",
  "keywords": ["game"],
  "license": "MIT",
  "author": "someone stupid",
  "scripts": {
    "build": "parcel build index.html",
    "dev": "parcel index.html --open",
    "start": "npm run build && npm run dev",
    "test": "echo \"Error: no test specified\" && exit 1"
  },
  "devDependencies": {
    "@typescript-eslint/eslint-plugin": "^5.16.0",
    "@typescript-eslint/parser": "^5.16.0",
    "ansi-regex": "^6.0.1",
    "eslint": "^8.12.0",
    "eslint-config-prettier": "^8.5.0",
    "eslint-plugin-prettier": "^4.0.0",
    "glob-parent": "^6.0.2",
    "node-forge": "^1.3.0",
    "nth-check": "^2.0.1",
    "parcel": "^2.4.0",
    "parcel-bundler": "^1.12.5",
    "postcss": "^8.4.12",
    "prettier": "^2.6.1",
    "typescript": "^4.6.3"
  },
  "dependencies": {
    "npm": "^8.5.5"
  }
}

在撰写本文时，运行 npm 版本 8.5.5 时，您应该会发现 24 个漏洞，其中 18 个中度漏洞和 6 个高漏洞。

Answer 1

根据评论，我已经尝试了一般情况下的所有命令，在这种情况下，您需要开始分析单个包。

那么，我做了什么？

1. 将所有依赖项更新到最新版本。

接下来，通过删除一半依赖项来执行二分搜索，并重复以下步骤

2. 删除 node_modules 文件夹
3. run npm install
4. run npmaudit 进行检查 。

如果没有漏洞，请添加要安装的剩余软件包的一半

如果存在漏洞，请删除当前正在安装的一半软件包。

就我而言，这个过程将其归结为以下两行：

"parcel": "^2.4.0",
"parcel-bundler": "^1.12.5",

对于 parcel-bundler，NPM 发出警告：

npm WARN deprecated [email protected]: Parcel v1 is no longer maintained. 
Please migrate to v2, which is published under the 'parcel' package.

所以我想我不需要 parcel-bundler > 根本没有，因为它已经集成到 parcel 包中，我已经在前面的步骤中将其更新到版本 2。

Answer 2

尝试使用此命令更新所有 npm。它帮助了我

npm install -g npm@latest

Answer 3

正如您的自我回答中所述，parcel-bundler 软件包已被弃用：

Parcel v1 不再维护。请迁移到 v2，该版本在“parcel”包下发布。

事实上，npm 包< em>名称已更改，从 parcel-bundler 更改为 parcel。
将它们放在同一个 package.json 中意味着两次拥有完全相同的包的两个不同版本，因此在这种情况下，“已弃用”一词相当具有误导性。

重现您的发现——我们可以相信审计报告吗？

感谢您在问题中包含 package.json 。
这样做可以重现您的发现。

1. 我运行 npm install npm@latest -g< /code>，然后是 npm --version，它响应 10.2.3。

   


2. 在一个空目录中，我添加 package.json 的一个版本，然后运行 ​​npm install。 ¹

package.json ：

{
  "name": "soq-71635274-fix-npm",
  "license": "MIT",
  "devDependencies": {
    "@typescript-eslint/eslint-plugin": "^5.16.0",
    "@typescript-eslint/parser": "^5.16.0",
    "eslint": "^8.12.0",
    "eslint-config-prettier": "^8.5.0",
    "eslint-plugin-prettier": "^4.0.0",
    "parcel": "^2.4.0",
    "parcel-bundler": "^1.12.5",
    "prettier": "^2.6.1",
    "typescript": "^4.6.3"
  }
}

3. 为了确保我拥有所有软件包的最新版本，然后运行 ​​npx npm-check-updates，后跟 npx npm-check -更新-u 和 npm install。
   响应显示59 个漏洞（47 个中等，12 个高），
   并建议“运行`npmaudit`以获取详细信息”。

4. 接下来我运行npmaudit。
   以下是生成的 npm 审核安全报告的开头。

# npm audit report
glob-parent  <5.1.2
Severity: high
…

5. 由于 parcel-bundler 已过时，我将其从 package.json 中删除。
   但是运行 npm install 并不会给出干净的报告。
   它仍然显示11个中等严重程度的漏洞。

6. 运行npmauditfix既不会改变package.json也不会改变package-lock.json。

7. 运行 npmauditfix --force 一次会将 package.json 中的 parcel 从 ^ 降级2.10.2 至 ^1.12.4。
   package-lock.json 的大小从 255 kB 增加到 477 kB。

8. 运行 npmauditfix --force 两次（第二次）从 ^1.12.4< 重新升级 parcel /code> 返回到 package.json 中的 ^2.10.2。
它将 package-lock.json 的大小从 477 kB 减小到 184 kB。 2

   


这也会导致发现 0 个漏洞：

我觉得这很了不起。
修复所有漏洞并运行 npm install 不足以获得干净的报告。
然后，您还需要运行npmauditfix--force两次。 ³

参考文献

• 解释 parcel-bundler 已弃用的答案
• 包 parcel-bundler 是已弃用
• 如何迁移 parcel-bundler
• 如何创建最小的、可重现的示例
• 审核包依赖项是否存在安全漏洞
• npm 审核安全报告

---

¹
由于您添加了包 ansi-regex、glob-parent、node-forge、nth-check 和postcss 作为直接 devDependency，我决定通过从 package.json 中删除它们来撤消它们。
我还删除了对 npm@^8.5.5 的依赖，我相信这源于您运行 npm i npm@latest ，它安装了 npm < em>本地。
相比之下，我总是仅在全局安装npm，npm i npm --global。

²
package-lock.json 运行 npmauditfix --force 之前和运行两次之后的唯一区别，就是很多包被删除了。
我假设删除的是 parcel-bundler 依赖的包。因此，npm install 本身不会删除这些软件包。

³
第三次运行npmauditfix --force不会更改package.json或package- lock.json 不再是了。
似乎一旦达到“0 个漏洞”状态，命令 npmauditfix --force 就不会引起任何更多更改。
这是有道理的。