npm install 漏洞对于不同的项目是不同的

Question

为什么在两个不同的项目上安装相同的节点包会导致两个不同的审计结果？一个没有漏洞，一个有两个

我可以根据需要使用有关项目的信息编辑此描述。

一个项目不包含其他模块，一个包含大量模块。他们 运行 在同一台计算机上。

Answer 1

每次您 运行 npm install 它都会收集 所有 添加到您的项目的依赖项的描述，将其发送到注册表并要求一个已知漏洞的报告。所以输出不同的原因是在第二个项目中你确实有一些易受攻击的依赖项。

您可以运行 npm audit查看第二个项目中易受攻击的依赖项的详细信息。

如果您不想 npm install 审核依赖项，您可以 运行 使用 --no-audit 参数。