一、引言
在开发项目的过程中，我们经常会用到各种各样的依赖包，这些依赖包能让我们快速实现功能，提高开发效率。不过呢，这些依赖包也可能存在安全漏洞，如果不及时处理，就可能给项目带来风险，比如数据泄露、系统被攻击等。Yarn audit 就是一个能帮我们发现这些安全漏洞并修复它们的好工具。接下来，咱们就一起看看怎么用 Yarn audit 来保障项目依赖的安全。
二、Yarn audit 简介
Yarn 是一个流行的 JavaScript 包管理器，就像一个大管家，能帮我们管理项目里用到的各种依赖包。而 Yarn audit 是 Yarn 提供的一个功能，它就像是一个“安全侦探”，可以检查项目里依赖包的安全状况，找出存在的安全漏洞，并告诉我们这些漏洞的严重程度和相关信息。
比如说，我们有一个项目，用 Yarn 来管理依赖。只要在项目的根目录下打开终端，运行命令 yarn audit，Yarn 就会去检查项目里所有依赖包，然后把结果呈现给我们。以下是一个可能的输出示例（Node.js 技术栈）：
# Node.js 技术栈示例
# 运行 Yarn audit 命令
yarn audit
# 输出结果示例
# ┌───────────────┬──────────────────────────────────────────────────────────────┐
# │ low │ Regular Expression Denial of Service │
# ├───────────────┼──────────────────────────────────────────────────────────────┤
# │ Package │ braces │
# ├───────────────┼──────────────────────────────────────────────────────────────┤
# │ Patched in │ >=2.3.1 │
# ├───────────────┼──────────────────────────────────────────────────────────────┤
# │ Dependency of │ my - project │
# ├───────────────┼──────────────────────────────────────────────────────────────┤
# │ Path │ my - project > some - dependency > braces │
# ├───────────────┼──────────────────────────────────────────────────────────────┤
# │ More info │ https://www.npmjs.com/advisories/786 │
# └───────────────┴──────────────────────────────────────────────────────────────┘
从这个输出我们能看到，项目里依赖的 braces 包存在一个低等级的正则表达式拒绝服务漏洞，建议更新到 >=2.3.1 版本来修复。
三、使用 Yarn audit 的流程
1. 运行 Yarn audit 命令
前面也提到了，要检查项目依赖的安全状况，就在项目根目录的终端里运行 yarn audit 命令。运行之后，Yarn 会从公共的漏洞数据库里获取信息，然后和项目里的依赖包进行对比，找出有问题的包。
2. 分析审计结果
Yarn audit 的输出结果会列出所有发现的安全漏洞，每个漏洞都有详细信息，比如漏洞的严重程度（像低、中、高、关键）、受影响的包名、推荐的修复版本、依赖路径等。我们得仔细分析这些结果，根据严重程度来确定修复的优先级。
比如说，关键级别的漏洞肯定要优先处理，因为它们可能会给项目带来非常严重的风险。而低等级的漏洞，可以根据项目的实际情况，决定是马上修复还是之后再处理。
3. 尝试自动修复
Yarn 提供了一个自动修复的功能，我们可以运行 yarn audit --fix 命令来让 Yarn 尝试自动更新依赖包到安全的版本。不过要注意，自动修复并不一定总能成功，有些情况下可能会因为版本兼容性问题或者其他原因失败。
以下是使用自动修复命令的示例（Node.js 技术栈）：
# Node.js 技术栈示例
# 尝试自动修复安全漏洞
yarn audit --fix
# 可能的输出
# info Visit https://yarnpkg.com/en/docs/cli/audit for documentation about this command.
# √ Some vulnerability patches were applied. Your package.json and yarn.lock were updated.
如果输出显示有漏洞被修复了，那就说明自动修复成功了一部分。但要是输出提示有一些漏洞无法自动修复，那就得手动处理了。
4. 手动修复漏洞
当自动修复失败或者有些漏洞不适合自动修复时，我们就需要手动更新依赖包的版本。步骤如下：
- 确认推荐的修复版本：从 Yarn audit 的输出里找到推荐的修复版本号。
- 更新
package.json文件：打开项目的package.json文件，找到受影响的包，把版本号更新为推荐的修复版本。 - 重新安装依赖：在终端里运行
yarn install命令，让 Yarn 根据更新后的package.json文件重新安装依赖。
以下是手动修复的示例（Node.js 技术栈）：
// Node.js 技术栈示例
// 原始的 package.json 文件
{
"name": "my - project",
"version": "1.0.0",
"dependencies": {
"braces": "2.3.0" // 存在漏洞的版本
}
}
// 更新后的 package.json 文件
{
"name": "my - project",
"version": "1.0.0",
"dependencies": {
"braces": "2.3.1" // 修复后的版本
}
}
# 重新安装依赖
yarn install
四、应用场景
Yarn audit 在很多项目场景中都非常有用，下面给大家详细说说。
1. 开源项目维护
在开源项目里，会有很多开发者参与贡献代码，也会用到大量的依赖包。使用 Yarn audit 可以定期检查依赖包的安全状况，及时发现并修复漏洞，保证项目的安全性和稳定性。比如说，一个知名的开源 JavaScript 库，每周都会运行 Yarn audit 来检查依赖，一旦发现漏洞就及时修复，这样能吸引更多开发者使用，也能提升项目的口碑。
2. 企业级项目开发
企业级项目通常对安全性要求很高，涉及到大量的用户数据和业务逻辑。Yarn audit 可以帮助企业及时发现项目依赖中的安全隐患，避免因为依赖包的漏洞导致数据泄露、业务中断等问题。像一家金融科技公司，在开发线上交易系统时，会在每次代码部署前运行 Yarn audit，确保项目依赖是安全的，保障用户资金安全。
3. 个人项目开发
对于个人开发者来说，使用 Yarn audit 可以提高自己项目的安全性。虽然个人项目可能规模较小，但也不能忽视安全问题。比如一个个人开发的博客网站，如果依赖的某个包存在安全漏洞，可能会导致网站被攻击，泄露用户信息。所以，个人开发者也应该定期使用 Yarn audit 检查项目依赖。
五、Yarn audit 的优缺点
优点
- 操作简单：只需要运行一个简单的命令
yarn audit，就能快速检查项目依赖的安全状况，不需要复杂的配置。 - 信息详细：审计结果会提供每个漏洞的详细信息，包括严重程度、受影响的包、推荐的修复版本等，方便开发者做出决策。
- 自动修复功能：可以尝试自动更新依赖包到安全版本，节省开发者的时间和精力。
缺点
- 自动修复有局限性：有些依赖包的漏洞可能无法通过自动修复解决，因为可能存在版本兼容性问题，需要开发者手动处理。
- 依赖公共漏洞数据库：Yarn audit 的漏洞信息是从公共的漏洞数据库获取的，可能存在信息更新不及时的情况，有些新出现的漏洞可能无法及时发现。
六、注意事项
在使用 Yarn audit 修复安全漏洞时，有一些事项需要注意。
1. 备份项目
在进行任何依赖包的更新操作之前，一定要备份项目。因为更新依赖包可能会引入新的问题，比如版本不兼容、功能异常等。备份项目可以在出现问题时方便恢复到之前的状态。
2. 测试更新后的项目
更新依赖包之后，要对项目进行全面的测试，确保项目的功能没有受到影响。可以进行单元测试、集成测试等，还可以在测试环境中部署项目，进行实际的测试。
3. 关注依赖包的变更日志
在更新依赖包时，要关注依赖包的变更日志，了解更新内容。有些更新可能会引入新的功能或改变原有的接口，需要对代码进行相应的调整。
七、文章总结
在项目开发中，保障依赖包的安全是非常重要的。Yarn audit 是一个强大的工具，能帮助我们快速发现项目依赖中的安全漏洞，并提供修复建议。通过运行 Yarn audit 命令、分析审计结果、尝试自动修复和手动修复漏洞等步骤，我们可以有效地保障项目依赖的安全。
不过，Yarn audit 也有一些局限性，在使用时需要注意备份项目、测试更新后的项目和关注依赖包的变更日志等事项。总之，合理使用 Yarn audit 能让我们的项目更安全、更稳定地运行。
Comments