如何在 package-lock.json 中增加传递依赖

Question

我的项目取决于analytics-node哪个依赖于axios: "^0.16.2".

我们已被标记为npm audit存在axios漏洞，但已在0.18.1.

但是，analytics-node没有依赖于0.18.1或更高版本的候选版本（只有测试版）。

我们已经尝试过：

• npm audit fix,
• npm update axios --depth 2,
• npm install axios@0.18.1

我最困惑的部分是，既然版本应该兼容，为什么 npm 不允许我们覆盖analytics-node版本。axios

Answer 1

正是出于这个原因，npm-force-resolutions专门修复了传递依赖版本解析。

如果有一种受支持的方法可以使用 package-lock.json 来执行此操作，那就更好了。