npm LinuxWindowsmacOS

npm audit: vulnerabilities found — как исправить уязвимости

  • Обновлено
  • Чтение ≈ 2 минуты

Краткий ответ

npm audit показывает уязвимости в зависимостях. Используйте npm audit fix, обновляйте пакеты и оценивайте реальную применимость.

В этой статье
  1. Что означает ошибка
  2. Причины и признаки
  3. Пошаговое решение
  4. Если не помогло
  5. Если проблема осталась

#Что означает ошибка

Сообщение
npm audit

npm audit показывает уязвимости в зависимостях. Используйте npm audit fix, обновляйте пакеты и оценивайте реальную применимость.

#Причины и признаки

Возможная причинаКак узнатьЧто делать
Устаревшие пакетыОбновление исправления доступно для прямой зависимости.Установите совместимую версию и запустите тесты.
Транзитивные зависимостиРиск приходит через пакет другой зависимости.Определите цепочку npm explain и обновите родительский пакет.
Ложные срабатыванияПредупреждение не применимо к текущему использованию.Оцените сценарий и документируйте исключение.
Заброшенный пакетПакет заброшен и исправления нет.Выберите поддерживаемую замену или ограничьте функцию.

#Пошаговое решение

  1. Сохраните отчёт об уязвимостяхВ терминале корня проекта выполните npm audit и отдельно npm audit --json > audit-report.json при необходимости передачи разработчику (проверьте отчёт на приватные данные). Запишите затронутые пакеты, уровень серьёзности, уязвимые версии и наличие исправления. Число предупреждений само по себе не равно фактическому риску приложения.
  2. Проверьте прямые и транзитивные зависимостиОткройте package.json и package-lock.json, используйте npm explain ИМЯ_ПАКЕТА, чтобы понять цепочку. Уточните, затрагивает ли проблема рабочее приложение или только сборочные инструменты, и применимо ли описанное воздействие к вашей архитектуре.
  3. Обновляйте совместимые версии с возможностью откатаСохраните изменения проекта в Git, затем сначала выполните npm audit fix без --force в отдельной ветке; изучите изменения lock-файла и запустите тесты. Если требуется несовместимая основная версия, запланируйте отдельное обновление и проверку документации; npm audit fix --force не применяйте автоматически.
  4. Проверьте остаточный рискПосле тестов повторите npm audit, сравните предупреждения и зафиксируйте причину оставшихся. При отсутствии исправления рассмотрите замену пакета или временное ограничение уязвимой функции. Не принимайте успешную установку зависимостей за доказательство безопасности.

#Если не помогло

Не используйте npm audit fix --force без проверки: он может сломать совместимость.

#Если проблема осталась

Если «npm audit: vulnerabilities found — как исправить уязвимости» повторяется, сохраните время, состояние подключения и точный текст ошибки. Не меняйте сразу несколько настроек — иначе станет трудно понять, какое действие повлияло на результат.

Так эту ошибку тоже называют

npm ERR! ERESOLVE unable to resolve dependency tree — причины и решение Исправьте конфликт peer-зависимостей или используйте --legacy-peer-deps. Программирование и базы данных npm LinuxWindowsmacOS npm ERR! EACCES permission denied при глобальной установке — причины и решение Настройте префикс npm в домашней папке или используйте nvm; не используйте sudo. Программирование и базы данных npm LinuxWindowsmacOS npm ERR! code ELIFECYCLE — сбой скрипта — причины и решение ELIFECYCLE означает, что скрипт из package.json завершился с ошибкой. Прочитайте лог выше, удалите node_modules и lock-файл и повторите установку. Программирование и базы данных npm LinuxWindowsmacOS npm ERR! ETIMEDOUT и ECONNRESET — не загружаются пакеты — причины и решение Проверьте прокси, зеркало реестра и сеть. Программирование и базы данных npm LinuxWindowsmacOS 404 npm ERR! 404 Not Found — пакет не найден — причины и решение Пакет не существует, опечатка в имени или приватный реестр без авторизации. Проверьте имя и настройки реестра. Программирование и базы данных npm LinuxWindowsmacOS

Источники и обновления

Последнее обновление статьи: 2 ноября 2026. Версии программ и интерфейсы меняются — если шаги не совпадают с вашей версией, сверяйтесь с документацией производителя.