如何在 build.gradle 中排除 package-lock.json 中可用的依赖项或模块以摆脱漏洞

Question

如何排除 build.gradle 中 package-lock.json 中可用的依赖项或模块以摆脱漏洞

以下是对该问题的一些见解： 当我们在 nodejs 项目上执行 npm install 时，package-lock.json 正在生成，并且在 package-lock.json 中，所有依赖项都被添加到 lodash、uglify-js 等......即使我们没有声明 lodash 或 uglify-js在 package.json 中，这些包被添加到 package-lock.json。

当我们对上述项目进行白源扫描或 CVE 修复时，我们发现了 lodash 和 uglify-js 的漏洞，即使我们没有在 nodejs 代码和 package.json 中使用。

如何从 package-lock.json 中排除特定的依赖项？

Answer 1

... in package-lock.json all the dependencies are getting added for lodash,uglify-js etc...even though we have not declared lodash or uglify-js in package.json,these packages were adding to package-lock.json.

您在项目中使用的模块之一在其源代码中使用了lodash, uglify-js etc..（作为构建模块时的依赖项）。这就是它们在package-lock.json 中可用的原因。

您可以使用 NPM 的 ls 命令查看哪些包正在使用哪些依赖项。

npm ls lodash

您可以在npm Docs阅读更多内容