https-proxy-agent 升级到 3.0.0 但 npm 审核仍然显示未修复

Posted

技术标签:

【中文标题】https-proxy-agent 升级到 3.0.0 但 npm 审核仍然显示未修复【英文标题】:https-proxy-agent upgraded to 3.0.0 but npm audit still showing not fixed 【发布时间】:2020-02-16 13:36:24 【问题描述】:

截至 2019 年 10 月 18 日,通过为 NPM 包 https-proxy-agent 提供修复,即使升级到最新版本,审计警告仍显示为 6 个高漏洞。 p>

运行 npm audit fix 不会解决或删除警告,npm audit fix --force 也不会(不鼓励这样做)。警告显示无所谓。

它仍然显示以下受影响的依赖项:


┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Machine-In-The-Middle                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ https-proxy-agent                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @angular/cli [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @angular/cli > @schematics/update > pacote >                 │
│               │ make-fetch-happen > https-proxy-agent                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1184                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Machine-In-The-Middle                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ https-proxy-agent                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @angular/cli [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @angular/cli > pacote > make-fetch-happen >                  │
│               │ https-proxy-agent                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1184                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Machine-In-The-Middle                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ https-proxy-agent                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @angular/cli [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @angular/cli > @schematics/update > pacote >                 │
│               │ npm-registry-fetch > make-fetch-happen > https-proxy-agent   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1184                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Machine-In-The-Middle                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ https-proxy-agent                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @angular/cli [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @angular/cli > pacote > npm-registry-fetch >                 │
│               │ make-fetch-happen > https-proxy-agent                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1184                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Machine-In-The-Middle                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ https-proxy-agent                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ protractor [dev]                                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ protractor > browserstack > https-proxy-agent                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1184                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Machine-In-The-Middle                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ https-proxy-agent                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ protractor [dev]                                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ protractor > saucelabs > https-proxy-agent                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1184                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 6 high severity vulnerabilities in 17441 scanned packages
 6 vulnerabilities require manual review. See the full report for details.

我需要升级什么 (npm install some-package@latest --save) 以消除这些警告?

【问题讨论】:

【参考方案1】:

这里也一样。

在 angular github 上找到了一个匹配的未解决问题:

https://github.com/angular/angular-cli/issues/15878

在这个问题中,Josh Stabback 描述了一个临时解决方法:

https://github.com/TooTallNate/node-https-proxy-agent/issues/84#issuecomment-543884972

我按照分步说明进行操作,得到了干净的审核结果:

=== npm audit security report === 
found 0 vulnerabilities
in 18853 scanned packages

非常感谢 @Josh Stabback 记录解决方法。

【讨论】:

这行得通,但我发现我需要做的就是添加到 package.json "resolutions": "https-proxy-agent": "^3.0.0" 然后运行 ​​npm audit修复并解决了有关 https-proxy-agent 的警告。

以上是关于https-proxy-agent 升级到 3.0.0 但 npm 审核仍然显示未修复的主要内容,如果未能解决你的问题,请参考以下文章

gradle tool升级到3.0注意事项

如何将 PowerShell 版本从 2.0 升级到 3.0

如何修复 https-proxy-agent Machine-In-The-Middle 漏洞?

从 ASP.NET Core 2.2 升级到 3.0

WangSql 3.0源码共享(WangSql 1.0重大升级到3.0)

500 - 当我将 joomla 模板 2.5 升级到 3.0 时找不到 JHtmlBehavior::mootools