npm - 是否需要注意npm漏洞警告，？

Question

大多数时候，在项目中安装新的 npm 依赖项时，我会收到警告和问题（低中度甚至严重）。并且运行 npm audit fix 或强制修复并不能解决问题。我可以忽略它们还是应该自己修复？尤其是关于依赖树的时候

标签： npm

Answer 1

此处的警告表明已发现错误，并且可能会在未来的版本中更正。尽管如此，为了避免破坏包，仍然可以使用旧的依赖项（也可能有问题）。因此，维护包的人可以选择在没有问题依赖项的情况下重建他们的包。或者他们等待依赖关系（或对其进行处理）得到纠正。

如果你想自己解决你正在使用的每个包的每个依赖项的每个问题，你肯定需要在地球上转世数千次来清理那个烂摊子 xD

最好的办法是尽可能少地使用包裹。但在决定是否使用包之前，我习惯于检查以下 3 点：

• 它有未来吗？（星星，下载，最后更新）
• 有很多人在研究它吗？（分叉、问题、拉动）
• 它有太多的依赖关系吗？

明智的选择可以避免你陷入发展的噩梦。