angular - NPM 更新依赖的依赖

Question

我目前在更新 NPM 包 tree-kill 时遇到问题，它是 @angular-devkit/build-angular 的依赖项。tree-kill 1.2.1 发布了一个安全公告https://nodesecurity.io/advisories/1432，该公告目前在我的 CI 管道中失败，包括因为管道包括“npm audit --audit-level high”。

我需要将 tree-kill 更新到 1.2.2 以解决安全咨询问题，但我已经在使用最新版本的 @angular-devkit/build-angular 并且我的 package-lock.json 具有 tree-kill 1.2.1 的要求@angular-devkit/build-angular。

我已经尝试卸载和安装 @angular-devkit/build-angular 以查看是否会安装 tree-kill 1.2.2 补丁。我也试过这个Npm update a dependency of an dependency in Node.js导致 package.json 依赖于 tree-kill 1.2.2 并且 package-lock.json 对于 @angular-devkit/build 仍然有 1.2.1 -角。

如何更新 package-lock.json 以便 @angular-devkit/build-angular 需要 tree-kill 1.2.2 而不是 1.2.1？

标签： angularnpmnpm-auditangular-devkit

Answer 1

https://github.com/angular/angular-cli/issues/16629#issuecomment-573837093是在 Angular git repo 中发布的评论，概述了更新依赖项的临时解决方法，直到包维护者发布新版本。注意：这只是一个临时的解决方法，如果发布了不需要 tree-kill 1.2.2 的更新版本的 Angular，它将恢复