如何在 package-lock.json 文件中正确更新 mem 包

Question

我正在运行 npm 版本 6.1.0 在我的 package-lock.json 文件中有一个名为 mem 的包，它不是我的 package.json 文件的一部分。它的版本是 1.1.0。不幸的是 GitHub 不喜欢它。Github 引用：

在 4.0.0 版本之前的 nodejs-mem 中，尽管达到了 maxAge，但由于旧结果并未从缓存中删除，因此存在内存泄漏。利用这一点可能会导致内存耗尽和随后的拒绝服务。

从终端更新这个特定的 mem 包的正确方法是什么，以便我的 package-lock.json 正确反映它。

Answer 1

你必须小心，你的一些依赖正在使用这个包。如果您mem手动更新某些依赖项可能会中断。正如您所指出的，GitHub 发现了一个您可以尝试运行的npm audit fix漏洞（NPM 会自动修复漏洞）。

您还可以mem通过运行来找出正在使用的包npm ls mem。然后通过更新顶级包npm update <package>

如果所有这些都没有帮助，我不建议手动更新它。它可能会破坏比修复更多的东西。