npm 包 nsp-audit-package 使用教程

在前端开发中，我们经常会使用 npm 包来管理我们的项目依赖，但是有时候我们可能会引入一些带有安全漏洞的包，这会对我们的项目的稳定性和安全性造成严重威胁。为了解决这个问题，我们可以使用 nsp-audit-package 这个 npm 包来对我们的项目依赖进行安全性检查。

nsp-audit-package 简介

nsp-audit-package 是一个 npm 包，它可以对我们的项目依赖进行安全性检查。它使用了 Node Security Platform（NSP）提供的 API 来获取漏洞信息，并将这些信息和我们项目依赖的版本进行比对，最终输出安全性检查报告。

安装 nsp-audit-package

我们可以使用 npm 来安装 nsp-audit-package，安装命令如下：

npm install -g nsp-audit-package

使用 nsp-audit-package 进行安全性检查

在安装完成之后，我们可以使用下面的命令来对我们的项目进行安全性检查：

nsp-audit-package

这个命令会对当前目录下的 package.json 文件中的依赖进行安全性检查，并输出安全性检查报告。在输出报告之前，nsp-audit-package 将会从 NSP 获取最新的漏洞数据库。

输出报告

安全性检查报告提供了很详细的信息，例如：

• 项目依赖的名称
• 项目依赖的版本
• 所有漏洞的数量
• 每个漏洞的严重程度（高、中、低）
• 每个漏洞的 CVE 号
• 每个漏洞的说明信息
• 每个漏洞的修复建议

下面是一个例子：

$ nsp-audit-package

> [SUCCESS] All packages are secure!

No known vulnerabilities found.

参数

除了默认的参数外，nsp-audit-package 还支持以下参数选项：

• --output: 输出报告的格式（可选值：human, json, yaml）
• --offline: 是否跳过与 NSP 的网络请求
• --package: 指定要检查的 package.json 文件
• --production: 只对生产环境的依赖进行检查
• --skip-postinstall: 跳过 postinstall 钩子函数
• --test: 是否在测试环境下运行检查
• --endpoint: NSP API 的地址（默认：api.nodesecurity.io）
• --timeout: API 请求的超时时间（默认：120000 毫秒）

总结

使用 nsp-audit-package 可以帮助我们发现项目依赖中的安全漏洞，并提供修复建议，以提高我们项目的安全性和稳定性。我们可以将 nsp-audit-package 加入到我们的持续集成流程中，以确保每次代码变更后的项目依赖都被检查过。

来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/60066f923d1de16d83a66b70