在现代软件开发中，使用包管理工具来引入第三方依赖库是非常常见的做法。npm 作为 Node.js 的包管理工具，为开发者们提供了便捷的依赖管理方式。然而，随着使用的第三方包数量增多，安全漏洞的风险也随之增加。npm audit 就是用来检测项目中依赖包存在安全漏洞的命令，下面就来详细讲讲从检测到解决这些安全漏洞的全攻略。
一、npm audit 检测安全漏洞
1.1 什么是 npm audit
npm audit 是 npm 自带的一个安全审计命令，它会检查项目的 package.json 和 package-lock.json 文件，分析项目所依赖的包是否存在已知的安全漏洞。当你在项目根目录下运行 npm audit 命令时，npm 会向 npm 官方的安全数据库发送请求，获取当前项目依赖包的安全信息。
1.2 运行 npm audit 示例
假设我们有一个简单的 Node.js 项目，项目结构如下：
my-project/
├── package.json
└── index.js
在 package.json 中，我们有以下依赖：
{
"name": "my-project",
"version": "1.0.0",
"description": "",
"main": "index.js",
"dependencies": {
"lodash": "^4.17.21", // 我们引入了 lodash 这个常用的工具库
"express": "^4.17.1" // 引入 express 框架来搭建简单的服务器
},
"scripts": {
"test": "echo \"Error: no test specified\" && exit 1"
},
"author": "",
"license": "ISC"
}
在项目根目录下打开终端，运行 npm audit 命令：
npm audit
如果项目依赖的包存在安全漏洞，会输出类似以下的报告：
# npm audit report
lodash <4.17.22
Severity: moderate
Prototype Pollution in lodash - https://npmjs.com/advisories/1320
fix available via `npm audit fix`
node_modules/lodash
express *
Depends on vulnerable versions of lodash
node_modules/express
4 moderate severity vulnerabilities
To address all issues, run:
npm audit fix
从这个报告中，我们可以看到 lodash 版本小于 4.17.22 存在中等严重级别的原型污染漏洞，express 因为依赖了有漏洞的 lodash 也受到影响。同时，npm 提示我们可以使用 npm audit fix 命令来尝试修复这些漏洞。
二、npm audit 报告解读
2.1 报告结构
npm audit 报告主要包含以下几个部分：
- 漏洞信息：包括漏洞影响的包名、受影响的版本范围、漏洞的严重级别（如低、中、高）、漏洞的描述和相关的安全咨询链接。
- 依赖关系：指出哪些包因为依赖了有漏洞的包而受到影响。
- 修复建议：提供了修复漏洞的建议，例如是否可以使用
npm audit fix自动修复。
2.2 严重级别的划分
- 低（Low）：这类漏洞通常不会对系统造成严重的影响，可能只是一些潜在的小问题，如信息泄露风险较小的情况。
- 中（Moderate）：可能会导致一定程度的安全风险，例如用户数据有被篡改的可能性。
- 高（High）：存在严重的安全隐患，可能会导致系统被入侵、数据被窃取等重大后果。
- 关键（Critical）：这是最严重的级别，一旦被利用，可能会造成系统完全瘫痪或重要数据泄露等灾难性后果。
2.3 示例分析
结合上面的 npm audit 报告，我们可以看到 lodash 存在中等严重级别的原型污染漏洞，受影响的版本是小于 4.17.22。express 因为依赖了这个有漏洞的 lodash 版本而受到牵连。我们可以点击报告中提供的安全咨询链接（https://npmjs.com/advisories/1320 ），查看关于这个漏洞的详细信息，包括漏洞的原理、影响范围和建议的修复方法等。
三、自动修复安全漏洞
3.1 使用 npm audit fix 命令
npm audit fix 是 npm 提供的自动修复安全漏洞的命令。它会尝试更新有漏洞的依赖包到安全版本，同时更新 package.json 和 package-lock.json 文件。
3.2 示例操作
继续使用上面的 my-project 项目，在终端运行以下命令：
npm audit fix
如果自动修复成功，终端会输出类似以下信息：
up to date in 0.511s
fixed 1 of 4 moderate severity vulnerabilities in 4 dependencies
3 vulnerabilities required manual review and could not be updated
从输出可以看到，npm audit fix 成功修复了 1 个中等严重级别的漏洞，但还有 3 个漏洞需要手动审核和更新。
3.3 注意事项
- 兼容性问题：自动更新依赖包可能会引入兼容性问题，因为新版本的包可能会有 API 变化。在自动修复之前，最好先在测试环境中进行测试。
- 无法自动修复的漏洞：有些漏洞由于各种原因（如依赖包已经废弃、没有可用的安全版本等）无法通过
npm audit fix自动修复，这时需要手动处理。
四、手动修复安全漏洞
4.1 手动更新依赖包版本
当 npm audit fix 无法自动修复漏洞时，我们需要手动更新依赖包的版本。可以通过修改 package.json 文件中的版本号，然后运行 npm install 来安装新的版本。
4.2 示例操作
假设 lodash 的 4.17.22 版本修复了之前的原型污染漏洞，我们手动修改 package.json 文件：
{
"name": "my-project",
"version": "1.0.0",
"description": "",
"main": "index.js",
"dependencies": {
"lodash": "^4.17.22", // 将 lodash 版本更新到 4.17.22
"express": "^4.17.1"
},
"scripts": {
"test": "echo \"Error: no test specified\" && exit 1"
},
"author": "",
"license": "ISC"
}
然后在终端运行：
npm install
安装完成后，再次运行 npm audit 检查是否还有安全漏洞。
4.3 替换有漏洞的依赖包
如果某个依赖包存在严重的安全漏洞且没有可用的安全版本，或者修复成本过高，我们可以考虑替换为其他功能类似的包。
例如，假设 lodash 一直无法解决某个严重的安全问题，我们可以使用 underscore 来替代它。首先，在 package.json 中移除 lodash 的依赖，然后添加 underscore 的依赖：
{
"name": "my-project",
"version": "1.0.0",
"description": "",
"main": "index.js",
"dependencies": {
"underscore": "^1.13.1", // 添加 underscore 依赖
"express": "^4.17.1"
},
"scripts": {
"test": "echo \"Error: no test specified\" && exit 1"
},
"author": "",
"license": "ISC"
}
接着在代码中修改引用：
// 原来引用 lodash
// const _ = require('lodash');
// 现在引用 underscore
const _ = require('underscore');
// 使用 _.map 方法的示例代码
const numbers = [1, 2, 3];
const squaredNumbers = _.map(numbers, num => num * num);
console.log(squaredNumbers);
最后运行 npm install 安装新的依赖。
五、应用场景
5.1 开源项目开发
在开源项目中，会有大量的开发者参与贡献，使用的依赖包也会很多。定期运行 npm audit 可以及时发现并修复安全漏洞，保证项目的安全性和稳定性，提高项目的质量和声誉。
5.2 企业级应用开发
企业级应用往往涉及到大量的用户数据和业务逻辑，安全问题至关重要。使用 npm audit 可以帮助企业及时发现和解决依赖包中的安全漏洞，避免因安全问题导致的业务损失和法律风险。
六、技术优缺点
6.1 优点
- 便捷性：
npm audit命令简单易用，只需要在项目根目录下运行即可快速检测出依赖包的安全漏洞。 - 自动化修复：
npm audit fix可以自动更新有漏洞的依赖包，节省开发者的时间和精力。 - 官方支持：npm 官方的安全数据库会及时更新安全信息，保证检测的准确性和及时性。
6.2 缺点
- 兼容性问题：自动更新依赖包可能会引入兼容性问题，需要开发者手动处理。
- 无法解决所有问题：对于一些复杂的安全漏洞，或者依赖包已经废弃的情况，
npm audit无法提供有效的解决方案，需要开发者手动处理。
七、注意事项
7.1 定期审计
定期运行 npm audit 命令，建议每周或每月进行一次，及时发现和处理新出现的安全漏洞。
7.2 测试环境验证
在进行自动修复或手动更新依赖包后，一定要在测试环境中进行充分的测试，确保没有引入新的兼容性问题或功能问题。
7.3 备份代码
在进行依赖包更新之前，最好备份项目代码，以防更新过程中出现意外情况导致代码丢失或损坏。
八、文章总结
通过本文的介绍，我们了解了如何使用 npm audit 命令检测 Node.js 项目中依赖包的安全漏洞，以及如何解读审计报告。同时，我们还学习了自动修复和手动修复安全漏洞的方法，以及在修复过程中需要注意的问题。在实际开发中，我们应该重视项目的安全问题，定期运行 npm audit，及时发现和解决安全漏洞，确保项目的安全性和稳定性。
评论