对所需 gem 的不安全/过时 gem 依赖项可以做些什么？

Question

我在预提交和 CI 中包含了 bundler-audit（检查已知易受攻击的 gem）。它在先前版本的 nokogiri gem 中发现了一个已知漏洞，建议我升级。

但问题是：易受攻击的 gem 位于 Rails 的传递依赖项和其他一些我无法删除的 gem 中。其中一些使用悲观的版本说明符，明确排除了我需要升级到的 nokogiri 版本。

在这种情况下，人们会怎么做？有什么建议吗？

Answer 1

如果当前的 Rails 4.x gem 有这种依赖关系，请提交一个针对 Rails 的错误。

如果当前 4.x 版本的 Rails 依赖于不安全的 gem 版本，我会感到非常惊讶。