GitHub 检测到依赖漏洞，但是我运行 npm update 并且依赖没有更新？

Question

在推送到 GitHub 时，我收到了这条消息：

GitHub 在用户名/项目名称的默认分支上发现了 1 个漏洞（1 个中等）。

我在 Github 上查看了项目，发现我需要将 Sequelize 更新到 5.3.0。在本地，我运行 npm update 并更新了我的另一个包，但 Sequelize 没有更新。

我提交了，然后再次推送到 Github，得到了同样的漏洞警告。我检查了package.json，它在依赖项下显示以下内容：

"sequelize": "^4.43.1"

我需要做一些不同的事情来更新 Sequelize 吗？或者至少解决这个警告？

Answer 1

npm update 在package.json 中尊重caret dependency restrictions。您要的是版本"^4.43.1"、meaning the latest version available without updating the leftmost nonzero digit。 sequelize 的最新4.x.y 版本是4.43.1。

在package.json 中更新其主要版本，例如到^5.3.0，因为这是你知道你需要的，然后再次运行npm update。这应该为您提供主要版本5（在撰写本文时为5.3.5）的最新版本。它还将更新您的package.json 和package-lock.json。