问题 #3932💬 已回答提出于 2021年11月9日作者 rakelley0 个反应

特征添加/移除可能会失败，因为集合类型不一致

快速解答作者 artf

是的，我会在下次版本里修正，谢谢

问题

GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Brave 版本 1.31.88 Chromium：95.0.4638.69（官方构建）（64位）在 Linux 上可复制演示链接 https://jsfiddle.net/0a3o7cL6/ 描述一下那个虫子操作组件特征集合的方法（例如 addTrait 和 removeTrait）似乎总是假设集合是 Backbone 衍生的集合类型，但在某些情况下，它实际上是一个简单的数组。代码随后尝试调用不存在的方法。我对代码库不够熟悉，无法确定真正的bug是 get('traits') 返回不一致类型，还是调用方法没有考虑混合返回类型。我在视频组件中发现了这种行为，它的运行时特性会被覆盖，不确定其他组件是否受到影响。 JSFiddle基本上取自：https://github.com/artf/grapesjs/issues/1999 如何复现这个漏洞？添加一个调用，该调用在 init 或其他回调中，添加一个特征收集类型的不可靠组件（视频确认）尝试创建该组件的实例预期的行为是什么？ addTrait 不应该爆炸目前的行为是什么？ Uncaught TypeError: this.get(...).add is not a function行为准则 [X] 我同意遵守本项目的行为准则

回答（2）

artf• 2021年11月20日

是的，我会在下次版本里修正，谢谢

GJSBlock• 2026年5月17日

谢谢你举报，@rakelley。安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。为你现在：运行“npm审计修复”以查看可用的补丁查看是否有更新的GrapesJS版本，可能已经解决了这个问题如有稳定版，升级前先测试最新稳定版如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试理解风险：在GitHub安全公告中查看具体漏洞详情并非所有高严重性问题都会影响你的代码路径某些漏洞仅在特定条件下触发保持最新：关注GrapesJS的新发布订阅仓库的安全通知团队在发布周期中优先考虑安全更新

在 GitHub 上查看完整讨论 →