如何修复依赖关系产生的及传递依赖性
我们已经启用了依赖依台的依赖库。但是DiDeStabot并没有为某些漏洞打开新的PR。 例如：
下面是我看到的警报之一 ` 可以安装的最新可能版本是2.4.2，因为以下相互矛盾的依赖性：
[ ;受保护的] 要求lodash@~2.4.1通过 最早的固定版本是4.17.21。 `
但是，只要9年前发布了lodash上的修复，ie; v 1.1.1; v 1.1.1，但loadash最新版本4.17.21，它使用v 1.1.0，
因为zip依赖性是传递性，我使用v 1.1.2 v1.1.1在我的软件包中手动。它会覆盖Zip使用的版本还是该方法有其他选择？
We have enabled dependabot alert on our repository. But dependabot is not opening new PR for some of vulnerabilities.
For example :
Below is one of alert I see
`
The latest possible version that can be installed is 2.4.2 because of the following conflicting dependencies:
[email protected] requires lodash@~2.4.1 via [email protected]
[email protected] requires lodash@~2.4.1 via a transitive dependency on [email protected]
The earliest fixed version is 4.17.21.
`
But Zip-folder is not updated on npm repo so far as fix on lodash was released 9 year ago i.e;v 1.1.1 but loadash latest version 4.17.21 and it's using v 1.1.0
As zip dependency is transitive should I update v1.1.1 in my package.json manually. Will it override the version used by zip or there is some alternative of this approach?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论