自动化 NPM 依赖包的安全升级：从小白到高效

2024-01-12 13:32:34

随着技术的发展，NPM 作为 JavaScript 的包管理工具，已经成为前端和后端开发人员不可或缺的工具之一。然而，随着软件应用的日新月异，安全问题也日益突出。为了保障应用程序的安全性，保持依赖包的最新安全版本尤为重要。

本指南将带您了解如何使用 npm CLI 工具的高级功能，一步步地将您的 npm 依赖包升级到最新的安全版本，确保您的项目免受安全漏洞的侵害。

一步步升级 npm 依赖包

1. 运行 npm audit

首先，使用 npm audit 命令对您的项目进行安全审核。此命令将扫描您的项目，发现并报告任何已知的安全漏洞。

npm audit

2. 审查安全报告

命令执行后，您将看到一个包含已发现安全漏洞的报告。请仔细审查此报告，并关注高危和中危漏洞。

3. 安装 npm-check-updates

接下来，我们需要安装 npm-check-updates 包。该包可以帮助我们自动检查并更新依赖包的最新版本。

npm install -g npm-check-updates

4. 运行 npm-check-updates

安装完成后，运行 npm-check-updates 命令。此命令将扫描您的项目，并列出所有可以更新的依赖包。

ncu -u

5. 选择要升级的依赖包

仔细查看列出的依赖包，选择您需要升级的包。您可以通过查看报告中的安全漏洞信息或查看依赖包的更新日志来做出决定。

6. 执行自动升级

选择好需要升级的依赖包后，使用以下命令进行自动升级：

ncu -u <依赖包名称>

例如，要升级 express 包：

ncu -u express

7. 确认并安装更新

在执行自动升级命令后，您需要确认更新内容并安装更新。您可以使用以下命令：

npm install

使用脚本实现自动化

为了更加方便地进行依赖包的自动升级，您可以使用脚本实现自动化。

1. 创建脚本文件

创建一个新的脚本文件，例如 upgrade-dependencies.sh。

2. 添加脚本内容

在脚本文件中添加以下内容：

#!/bin/bash

# 运行 npm audit
npm audit

# 安装 npm-check-updates
npm install -g npm-check-updates

# 运行 npm-check-updates 并列出需要更新的依赖包
ncu -u

# 选择要升级的依赖包
read -p "Enter the dependencies you want to update (comma-separated): " dependencies

# 循环更新依赖包
for dependency in ${dependencies//,/ }
do
  ncu -u $dependency
done

# 确认并安装更新
npm install