GitHub pages: почему появляется предупреждение для содержимого файла package-lock.json?

Question

[MyQuestion]

Добрый день!

Ошибка:

Dependabot alerts surface known security vulnerabilities in some dependency manifest files. Dependabot security updates automatically keep your application up-to-date by updating dependencies in response to these alerts. Dependabot version updates can also help keep dependencies updated.

Пишет про уязвимость безопасности.

Ему не нравятся модули:
- trim-newlines
- normalize-url
- xmldom
- lodash.template

Что с этим делать, как-то обновиться? Удалить package-lock? - Потому что, я не понимаю, почему установленный модуль безопасен, а пара записей в package-lock об этом модуле - нет... Или добавить весь файл в игнор?
У кого нибудь есть информация об этой уязвимости, и что можете посоветовать?

Comments

[Сергей delphinpro]

почему установленный модуль безопасен, а пара записей в package-lock об этом модуле - нет..

Как раз модуль небезопасен. Но так как самого модуля в репозитории нет, гитхаб анализирует package.json на предмет используемых пакетов.

Вам следует обновить указанные пакеты до последних версий. Для этого, кстати, в интерфейсе гитхаба есть специальная кнопка. Он сам обновит записи до безопасных версий и сделает коммит. Вам нужно будет потом стянуть эти изменения в локальный репо, выполнить npm i и пересобрать проект.

Но лично я просто забиваю на эти предупреждения.

[MyQuestion]

Сергей delphinpro, ок, спасибо )

А не подскажете ещё по одному вопросу?
Нормально ли весь проект, всю сборку, включая модули gulp, отправлять в github репозиторий? Я подозреваю, что нет) Просто я хочу работать в гит папке, но использовать сборку... Переписывать пути, что бы dev собирался в гит папку? Или норму так делать? В принципе никому это не мешает, просто хотелось бы услышать, мнение на этот счёт.

[Сергей delphinpro]

MyQuestion, в репе должно быть всё, что необходимо для сборки проекта. Исключаются файлы третьих лиц, т.е. сторонние пакеты, устанавливаемые пакетными менеджерами в папки node_modules, vendor и т.п.

[MyQuestion]

Сергей delphinpro,
Спасибо )

Answer 1

[Василий Банников]

Удалить package-lock?

Удалить package-lock и обновить пакеты до последних версий.