依赖安全更新

# 全面安全审计和更新
检测并修复项目中所有存在安全漏洞的依赖包
 
# 高危漏洞优先
优先修复高危和严重级别的安全漏洞，保持兼容性
 
# 生产依赖更新
只更新生产环境依赖中的安全漏洞，跳过开发依赖
 
# 自动化安全更新
设置自动化流程，定期检查和更新安全依赖

# npm 项目安全审计
npm audit
 
# yarn 项目安全审计
yarn audit
 
# pnpm 项目安全审计
pnpm audit
 
# 使用更详细的安全工具
npx audit-ci --config audit-ci.json

# 自动修复高危漏洞
npm audit fix --force
 
# 手动更新特定高危包
npm install package-name@safe-version

// 示例：分析依赖更新影响
{
  "lodash": {
    "current": "4.17.11",
    "vulnerable": "< 4.17.12", 
    "safe": "4.17.21",
    "impact": "Prototype Pollution",
    "severity": "High",
    "recommendation": "Update immediately"
  },
  "minimist": {
    "current": "1.2.0",
    "vulnerable": "< 1.2.3",
    "safe": "1.2.5", 
    "impact": "Prototype Pollution",
    "severity": "Moderate",
    "recommendation": "Update in next maintenance window"
  }
}

# 更新后运行完整测试
npm test
 
# 构建验证
npm run build
 
# 如果有E2E测试，运行验证
npm run test:e2e

# 确认没有已知漏洞
npm audit --audit-level moderate
 
# 检查依赖版本
npm list --depth=0
 
# 验证应用功能正常
npm test && npm run build
 
# 生成安全报告
npx audit-ci --report-type json --output security-report.json

{
  "dependencies": {
    "lodash": "^4.17.21",  // 项目直接使用
    "express": "^4.18.2"   // 可直接控制版本
  }
}

# 查看依赖树找出问题来源
npm ls vulnerable-package
 
# 使用 overrides 强制版本
{
  "overrides": {
    "vulnerable-sub-package": "safe-version"
  }
}

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    open-pull-requests-limit: 5
    reviewers:
      - "security-team"

# GitHub Actions 安全检查
- name: Security Audit
  run: |
    npm audit --audit-level high
    if [ $? -ne 0 ]; then
      echo "High severity vulnerabilities found!"
      exit 1
    fi

# 安装安全监控工具
npm install -g audit-ci snyk
 
# 配置持续监控
snyk monitor --project-name="my-app"

// 受影响的代码模式
function merge(target, source) {
  for (let key in source) {
    target[key] = source[key];  // 危险：可污染原型链
  }
}
 
// 安全的替代方案
function safeMerge(target, source) {
  for (let key in source) {
    if (Object.prototype.hasOwnProperty.call(source, key)) {
      target[key] = source[key];
    }
  }
}

// 使用安全的HTML处理库
import DOMPurify from 'dompurify';
 
// 危险：直接插入HTML
element.innerHTML = userInput;
 
// 安全：经过清理的HTML  
element.innerHTML = DOMPurify.sanitize(userInput);

// 危险：未验证的文件路径
const filePath = req.params.file;
fs.readFile(`./uploads/${filePath}`, callback);
 
// 安全：路径验证和限制
const path = require('path');
const filePath = path.basename(req.params.file);
const safePath = path.join('./uploads', filePath);
if (!safePath.startsWith('./uploads/')) {
  throw new Error('Invalid file path');
}

# 创建紧急修复分支
git checkout -b hotfix/security-update
 
# 应用安全更新
npm audit fix --force
 
# 测试验证
npm test && npm run build
 
# 提交并部署
git commit -m "security: fix critical vulnerabilities
 
- Update lodash to 4.17.21 (fixes CVE-2021-23337)
- Update minimist to 1.2.5 (fixes CVE-2021-44906)
 
Security-Priority: High"
 
# 合并到主分支并部署
git checkout main
git merge hotfix/security-update

// .npmrc 安全配置
fund=false
audit-level=moderate
save-exact=true
package-lock=true