npm安装漏洞对于不同的项目是不同的

Question

为什么在两个不同的项目上安装相同的节点程序包会导致两个不同的审核结果？一个没有脆弱性，一个有两个。

我可以根据需要使用有关项目的信息来编辑此描述。

一个项目不包含其他模块，一个包含其中的负载。它们正在同一台计算机上运行。

Answer 1

每次运行npm install时，它都会收集对添加到项目中的所有依赖项的描述，将其发送到注册表并要求提供已知漏洞的报告。因此，输出不同的原因是，在第二个项目中，您确实存在一些易受攻击的依赖项。

您可以运行npm audit来查看有关第二个项目中易受攻击的依赖项的详细信息。

如果您不希望npm install审核依赖项，则可以使用--no-audit参数运行它。