Node-sass漏洞和npm审核

Question

4

我有需要维护使用node-sass npm模块的项目。

自从node 10.x以来，每次进行npm install时都会运行一个工具（称为npm audit）。这似乎是防止存在漏洞问题的好工具。

我的问题是node-sass模块存在漏洞。我发现该项目的维护者出于不好的原因拒绝修复这些问题。 https://github.com/sass/node-sass/issues/2262 像node-sass这样维护流行模块的人应尽快纠正漏洞问题，但不幸的是他们没有这么做。

我不是安全方面的专家，所以我更喜欢依赖于npm所指示的内容，并且不再使用任何让人认为你的软件很糟糕的依赖项。

但我非常喜欢用SASS编写CSS，希望能给它一次机会继续使用。有什么想法可以在保持项目安全、不降低开发者体验的同时消除这些漏洞信息？

- jlguenego

要么修复漏洞并提交PR；要么找一个不同的CSS预处理库；或者自己编写一个。 - jonrsharpe

或者直接升级到4.9.1版本：https://github.com/sass/node-sass/issues/2355 - jonrsharpe

显然，维护者不接受关于此的PR。我也想要一个被广泛采用的解决方案。不一定是我的。这就是为什么我发布了这个问题。 - jlguenego

如果您正在寻求另一个库，那么这里就不是讨论的主题。否则，您的问题就不清楚了：这些是您的选项，选择其中一个或忽略审核消息。 - jonrsharpe

npm i node-sass@4.9.1：发现5个中等严重性漏洞 - jlguenego

简而言之：npm audit 不是一个很好的工具，因为它也会警告那些在生产代码中并不是问题的问题。 - Stephan Vierkant

2个回答

2

一种选择是使用dart-sass。它没有漏洞问题。

- Jason Ching

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- LincolnP · Accepted Answer

这个安全问题与node-sass无关，因为它从未接触您的实际代码。 node-sass运行在通常用于开发的主机上，并且通常不会在公共网络中可见。

通常情况下，您会使用node-sass将SCSS预编译为CSS，漏洞不会影响生成的CSS代码。

如果您将node.js服务器作为后端运行，则这些警告是相关的，但通常情况下并非如此。