Разветвил репозиторий с учебником по реакции из github, и после установки npm обнаружил 1 критическую проблему среди других. Просто проигнорируйте или запустите исправление аудита npm?

Я слежу за учебником на YouTube и разветвил репо. После запуска npm install я получаю следующее:

found 45634 vulnerabilities (42263 low, 21 moderate, 3349 high, 1 critical) in 1547 scanned packages
  run `npm audit fix` to fix 45333 of them.
  301 vulnerabilities require manual review. See the full report for details.

Поскольку я не совсем уверен, какое исправление аудита npm делает, я не решаюсь выполнить команду.

Я провел аудит npm, который дал мне список. Вот отрывок:

Moderate        Regular Expression Denial of Service                          

  Package         acorn                                                         

  Patched in      >=5.7.4 <6.0.0 || >=6.4.1 <7.0.0 || >=7.1.1                   

  Dependency of   react-scripts                                                 

  Path            react-scripts > jest > jest-cli > jest-config >               
                  jest-environment-jsdom > jsdom > acorn                        

  More info       https://npmjs.com/advisories/1488             

После прочтения некоторых форумов люди предлагают игнорировать предупреждение или удалить package-lock.json и снова запустить npm install. Не пробовал ни одно из этих решений. Сначала собирался спросить здесь, прежде чем слепо последовать совету, который я прочитал на каком-то форуме.

Спасибо за любую помощь.


person Aaron    schedule 01.09.2020    source источник


Ответы (1)


Поскольку вы просто следуете руководству, я бы проигнорировал уязвимости, большую часть времени это просто устаревшие пакеты, которые не обновились для исправления этих уязвимостей.

person Redseb    schedule 01.09.2020
comment
Да, похоже, репо немного устарело и давно не обновлялось. Я не особо углублялся в функциональность npm и просто хотел убедиться, что ничего не нарушаю. После прочтения документации кажется, что исправление аудита просто обновляет совместимые зависимости и не учитывает обновления, которые могут нарушить работу проекта. Я приму это как ответ на свой вопрос. Спасибо. - person Aaron; 01.09.2020