Как исправить алерты на github?

Question

[Сергей Бурдужа]

Здравствуйте.
По почте пришло письмо о проблеме с зависимостями в файле package-lock.json.
Я так понимаю, что не следует руками что-то поправлять самому в этом файле.

Вот алерты


Если я перехожу по ссылке алерта, то я получаю извещение, что нужно поменять версию модуля, например

"dependencies": {
  "cryptiles": ">=4.1.2"
}

Только, где это прописать? В файле package.json?

Я прописал в package.json

"dependencies": {
		"cryptiles": ">=4.1.2",
		"hawk": ">=3.1.3",
		"hoek": ">=4.2.1",
    "bower": "^1.8.8",
    "gulp-cheerio": "^0.6.3",
    "jquery": "^3.3.1",
    "postcss": "^7.0.6",
    "slick": "^1.12.2",
    "slick-carousel": "^1.8.1",
    "ttf2woff2": "^2.0.3"
  },

Потом закомитил и запушил, но алерты не пропали.

Команда

npm outdated показала, что некоторые зависимости отсутсвуют

$ npm outdated
Package                 Current  Wanted  Latest  Location
cryptiles               MISSING   4.1.3   4.1.3  baby-toy
hawk                    MISSING  7.0.10  7.0.10  baby-toy
hoek                    MISSING   6.1.3   6.1.3  baby-toy
@babel/core               7.1.6   7.4.3   7.4.3  baby-toy
@babel/preset-env         7.1.6   7.4.3   7.4.3  baby-toy
gulp-cheerio-clean-svg    0.0.0     git     git  baby-toy
gulp-plumber              1.2.0   1.2.1   1.2.1  baby-toy
gulp-sourcemaps           2.6.4   2.6.5   2.6.5  baby-toy
gulp-svgmin               2.1.0   2.2.0   2.2.0  baby-toy
gulp-uglify               3.0.1   3.0.2   3.0.2  baby-toy
postcss                   7.0.6  7.0.14  7.0.14  baby-toy
stylelint-order           2.0.0   2.2.0   2.2.0  baby-toy
svgo                      1.2.0   1.2.1   1.2.1  baby-toy

Как мне решить эту проблему, разрабы не могли написать подробно как бороться с алертами?
Или они посчитали, что самому нужно додуматься?

Заранее благодарен.

Answer 1

[Кирилл Кудрявцев]

Обновите .lock файл + попробуйте npm audite fix

Comments

[Сергей Бурдужа]

вот что npm audit выдает

$ npm audit fix
npm WARN optional SKIPPING OPTIONAL DEPENDENCY: fsevents@1.2.4 (node_modules\fsevents):
npm WARN notsup SKIPPING OPTIONAL DEPENDENCY: Unsupported platform for fsevents@1.2.4: wanted {"os":"darwin","arch":"any"} (current: {"os":"win32","arch":"x64"})

up to date in 9.087s
fixed 2 of 19 vulnerabilities in 16719 scanned packages
  17 vulnerabilities required manual review and could not be updated

Вот содержимое package.json

{
  "name": "baby-toy",
  "version": "1.0.0",
  "main": "original_gulpfile.js",
  "dependencies": {
    "cryptiles": ">=4.1.3",
    "hawk": ">=7.0.10",
    "hoek": ">=6.1.3",
    "bower": "^1.8.8",
    "gulp-cheerio": "^0.6.3",
    "jquery": "^3.3.1",
    "postcss": "^7.0.14",
    "slick": "^1.12.2",
    "slick-carousel": "^1.8.1",
    "ttf2woff2": "^2.0.3"
  },
  "devDependencies": {
    "@babel/core": "^7.4.3",
    "@babel/preset-env": "^7.4.3",
    "browser-sync": "^2.26.3",
    "gulp": "^4.0.0",
    "gulp-autoprefixer": "^6.0.0",
    "gulp-babel": "^8.0.0",
    "gulp-cheerio-clean-svg": "github:Hiswe/gulp-cheerio-clean-svg",
    "gulp-csso": "^3.0.1",
    "gulp-debug": "^4.0.0",
    "gulp-if": "^2.0.2",
    "gulp-load-plugins": "^1.5.0",
    "gulp-newer": "^1.4.0",
    "gulp-notify": "^3.2.0",
    "gulp-plumber": "^1.2.1",
    "gulp-pug": "^4.0.1",
    "gulp-rename": "^1.4.0",
    "gulp-replace": "^1.0.0",
    "gulp-rigger": "^0.5.8",
    "gulp-sass": "^4.0.2",
    "gulp-sourcemaps": "^2.6.5",
    "gulp-svg-sprite": "^1.5.0",
    "gulp-svg-sprites": "^4.1.2",
    "gulp-svgmin": "^2.2.0",
    "gulp-tinypng-compress": "^1.2.1",
    "gulp-ttf2woff": "^1.1.1",
    "gulp-ttf2woff2": "^2.0.2",
    "gulp-uglify": "^3.0.2",
    "gulp-wait": "0.0.2",
    "gulp-webp": "^4.0.1",
    "pug-lint": "^2.5.0",
    "stylelint": "^9.10.1",
    "stylelint-config-recommended": "^2.1.0",
    "stylelint-order": "^2.2.0",
    "svgo": "^1.2.1"
  },
  "scripts": {
    "test": "echo \"Error: no test specified\" && exit 1",
    "lint": "sass-lint -v",
    "lint:fix": "sass-lint-auto-fix"
  },
  "repository": {
    "type": "git",
    "url": "git+https://github.com/seriiserii825/sedona.loc.git"
  },
  "keywords": [],
  "author": "serii <[e-mail]>",
  "license": "ISC",
  "bugs": {
    "url": "https://github.com/seriiserii825/sedona.loc/issues"
  },
  "homepage": "https://github.com/seriiserii825/sedona.loc#readme",
  "description": "I don't have a nastavnik"
}

А вот package-lock.json слишком большой, чтобы вставить здесь его содержимое.

Я обновил следующим образом:
1. Удалил node_modules
2. npm update --save
3. npm update --save-dev
4. npm init
5. npm i

И в конце npm audit показала 17 ошибок.