安全审计与漏洞修复专题

专题说明

本专题讲解NPM安全审计工具的使用，包括npm audit扫描依赖漏洞、评估漏洞严重等级、自动修复兼容版本以及手动处理无法自动修复的漏洞。

学习目标

掌握npm audit扫描依赖漏洞与解读审计报告
理解漏洞严重等级（low/moderate/high/critical）的含义
学会使用npm audit fix自动修复兼容版本
能够手动升级依赖或使用overrides处理顽固漏洞

学习内容

npm audit：安全审计扫描、漏洞等级与影响范围
npm audit fix：自动修复、兼容版本更新
手动修复：升级依赖、overrides、替代方案

学习建议

CI/CD流水线中应集成npm audit作为安全检查卡点
无法自动修复时优先考虑升级主依赖而非使用overrides
定期关注NPM安全公告，及时响应高危漏洞

📝 配套习题（11 题）

💡 参考答案在文末

判断题

npm audit只能检测直接依赖中的安全漏洞，不会扫描间接依赖。

对

错

npm audit fix能够自动修复所有检测到的安全漏洞。

对

错

单选题

npm audit报告中，以下哪个严重等级是最高的？

moderate

high

critical

low

npm audit fix --force的作用和风险是什么？

强制修复所有漏洞，没有风险

允许安装破坏性更新（major版本升级），可能导致代码不兼容

仅修复critical级别漏洞，忽略其他等级

跳过漏洞修复，仅更新package-lock.json

当一个间接依赖存在安全漏洞，但直接依赖未提供兼容的修复版本时，以下哪种方式最安全可行？

直接修改node_modules中的间接依赖代码

使用overrides字段将间接依赖覆盖到修复版本，并验证兼容性

忽略该漏洞，等待上游包更新

将间接依赖添加为直接依赖以获取修复版本

多选题

关于npm audit，以下说法正确的是哪些？

npm audit --json可以输出JSON格式的报告

npm audit --production可以仅审计生产依赖

npm audit的数据来源是npm注册表维护的漏洞数据库

npm audit可以在没有package-lock.json的情况下运行

npm audit可以检测未发布的私有包中的漏洞

关于npm audit fix，以下说法正确的是哪些？

npm audit fix默认只应用向后兼容的版本更新

npm audit fix --dry-run可以预览将要执行的修复操作

npm audit fix会自动修改package.json中的版本范围

修复后需要重新运行npm audit确认漏洞已解决

npm audit fix对所有漏洞都会尝试修复

对于无法通过npm audit fix自动修复的安全漏洞，可以采取以下哪些处理方式？

使用overrides字段强制覆盖间接依赖版本

在.npmrc中使用audit-level配置忽略低等级漏洞

向上游包提交issue或PR请求更新依赖

使用npm audit --omit=dev排除开发依赖中的漏洞

评估漏洞的实际影响，对于不影响生产环境的漏洞可以暂时接受

填空题

npm audit在CI/CD流水线中常用____________参数控制触发错误的最低漏洞等级，默认情况下____________和critical等级的漏洞会导致npm audit以非零退出码退出。

npm audit fix只能修复存在____________版本更新的漏洞，对于需要____________版本升级的漏洞，需要使用--force参数或手动处理。

处理间接依赖漏洞时，npm v8.3+推荐使用____________字段强制覆盖版本，而yarn使用____________字段实现相同功能。在覆盖版本后，必须执行____________验证兼容性。