Github, package-lock.json dosyamdaki bir bağımlılığın savunmasız ve güncel olmadığını söylüyor. Sorun şu ki eğer yaparsam npm installveya npm updatehiçbiri package-lock.json dosyasındaki bağımlılığı güncellemiyor.
Bu konuda çok fazla googling yaptım, dosyayı sildim ve yaptım npm install.
Bu sorunu çözmeye yardımcı olabilecek biri varsa, çok memnun olurum. Söz konusu paket, aslında package.json dosyamda bulunmadığım Hoek.
Şimdiden çok teşekkürler.
Yanıtlar:
Hoek, bağımlılıklarınızdan birinin bağımlılığı gibi görünüyor (bu nedenle, paketinizdeki bir paket, kendi package.json'dan gerektiriyor).
Proje bağımlılıklarınızı silmeyi / yeniden yüklemeyi ve güncellemeyi başarıyla denediniz, bu nedenle söz konusu paket bağımlılığının açık veya maksimum bir sürümü belirtilmiş gibi görünüyor.
Bağımlılıklarınızın her biri için package.json dosyasını görmeden, bir güncellemeyi nasıl zorlayacağınız konusunda daha fazla tavsiye vermek zor olacaktır.
Düzenleme:
Hangi paketlerin hangi bağımlılıkları kullandığını belirlemenize yardımcı olması için NPM'nin lskomutunu kullanabilirsiniz : https://docs.npmjs.com/cli/ls
Örneğin, hangi paketlerin Hoek kullandığını görmek için:
npm ls hoek
Düzenleme 2:
Ulysse BN'nin doğru bir şekilde işaret ettiği gibi, NPM sürüm 6 veya sonraki bir sürüme sahipseniz, NPM'den sizin npm audit fixiçin güvenlik açıklarını gidermesini istemeyi kullanabilirsiniz .
Düzenleme 3: Bunu okuyanlar aşağıdaki JBallin'in cevabına da bakmalıdır. Burada verdiğim bilgileri genişletiyor ve (bence) OP'nin sorusuna daha iyi hitap eden daha yapılandırılmış bir cevap. Ancak - hızlı bir düzeltme istiyorsanız - bu cevap yeterli olacaktır.
package.jsoniçin Growl'un belirli (savunmasız) sürümüne bağlı bir şeyin bir versiyonu. Cevabınız doğru yoldadır ve hangi paketlerin içinde package.jsongösterilen savunmasız olana bağlı olduğunu gösteren komutu paylaşabilirseniz, belki de onu yakalayabilirsiniz package-lock.json.
TLDR: kullanarak üst paketi güncelleyin npm i $PARENT_PKG_NAME.
Not
Bağımlılıkları güncellerken, herhangi bir son değişiklik olup olmadığını görmek için CHANGELOG'u gözden geçirmelisiniz.
Teşhis
npm audithem savunmasız paketi (bunun için bir package-lock.json dosyasına ihtiyacınız olacağını, bu yüzden çalıştırmanız gerekeceğini unutmayın npm i) hem de bunun bağımlı olduğu paketi (varsa) ortaya çıkaracaktır . npm ls $CHILD_PKG_NAMEÜst bağımlılıklarını görmek için de kullanabileceğinizi unutmayın .
Hızlı Onarım Denemesi
npm audit fixve npm audit fix --forcedenemeye değer, ancak bazen düzeltmenin manuel olarak yapılması gerekebilir (aşağıya bakın).
Manuel Düzeltme
Büyük olasılıkla ana paket bağımlılıklarını zaten düzeltmiş olacaktır (bunu GitHub'larına gidip son kayıtları inceleyerek veya sadece bunun düzeltip düzeltmediğini kontrol ederek doğrulayabilirsiniz), böylece çalıştırabilirsiniz npm i $PARENT_PKG_NAME @$NEW_VERSIONve paket kilidinizi güncelleyecektir. .json.
Ebeveyn güvenlik açığını gidermediyse
Bakımcı yanıt vermiyor gibi görünüyorsa, aynı şeyi başaran alternatif bir paket kullanmayı veya paketi çatallayarak güvenlik açığını kendiniz güncellemeyi düşünebilirsiniz.
Düzeltmeyi Doğrula
Artık çalıştığını npm auditve hiçbir güvenlik açığının görünmediğinden emin olarak çalıştığını doğrulayabilirsiniz . Değişikliklerinizi işleyin, onları GitHub'a gönderin, bildirimlerinizi / uyarılarınızı yenileyin ve gitmeleri gerekir!
Npm @ 6 veya sonrasına sahipseniz, npm audit fixgüvenlik sorunlarınız için kullanabilirsiniz .
Savunmasız npm paketlerini kontrol etmek için aşağıdaki komutları kullanın:
npm audit
Güvenlik açığı bulunan npm paketlerini düzeltmek için, package-lock.json'u da düzeltecek aşağıdaki komutları kullanın:
npm audit fix
Düzenleme package-lock.jsonsonra sabit bir ve kullanım elle ve güncelleme savunmasız paket versiyonu
npm ci
Bu, paketleri önce package-lock.jsongörmezden gelerek ona göre kuracaktır package.json. Sonra kullan
npm audit fix
tekrar, düzgün yapıldığından emin olmak için. Eğer yardımcı olmazsa, verilen diğer çözümleri kullanın.
Daha fazla bilgi burada:
https://blog.npmjs.org/post/171556855892/introducing-npm-ci-for-faster-more-reliable
veya burada: https://docs.npmjs.com/auditing-package-dependencies-for-security-vulnerabilities