node.js - nsp 扫描问题

Question

我正在使用 nsp 扫描漏洞。我看到一个奇怪的行为。

在脚本、依赖项、devDependency 部分我有以下内容

{
    "scripts": {
        "security-scan:nsp": "nsp check --threshold 10 --reporter json"
    },
    "dependencies": {
        "joi": "10.x",
        "dotenv": "4.0.0",
        "nsp": "3.2.1"
    },
    "devDependencies": {
        "lab": "14.x",
        "code": "4.x",
        "eslint": "4.1.1",
        "eslint-plugin-import": "2.7.0"
    }
}

如果我运行npm run security-scan:nsp我会遇到一些漏洞，但是现在如果我将 nsp 从依赖项移动到 devDependency 并运行npm run security-scan:nsp我不会遇到任何漏洞。有人可以帮我看看吗？

标签： node.jsexpresshapijsowasp

Answer 1

Nsp 不扫描 Dev 依赖项。新npm audit命令使用相同的漏洞数据库，但没有任何 nsp 的格式化选项。