Backbone-undo/underscore security advisory
版本： v0.17.3 你能重现演示中的bug吗？[x] 是的[ ] 不 预期的行为是什么？ 见下文 目前的行为是什么？ 嵌套依赖使用的某个underscore版本存在已知的安全漏洞。 当前版本的grapejs利用了backbone-undo ^0.2.5 https://github.com/artf/grapesjs/blob/d7f773202c72710dd787e2ce418c114c9ef81986/package.json#L20 最新版本通过[npm]（https://www.npmjs.com/package/backbone-undo?activeTab=versions）0.2.5 backbone-undo...
emyasnikov
我也在想是否需要“骨干撤销”，或者可以用类似的替代。这个套餐已经6年没更新了
artf
这个套餐已经6年没更新了 嗯，除了更新依赖（比如出于安全考虑），它是一个功能完整的库，不需要添加或更新其他东西。 总之，这个[PR]（https://github.com/artf/grapesjs/pull/3439）似乎修复了.lock级别的安全漏洞，但我不确定它们是否会保留在全新安装中。 我知道纱线有针对这种情况的“解决”，但不确定NPM里有没有其他替代方案。
chilled-capybara
谢谢你的回复总之，这个[PR]（https://github.com/artf/grapesjs/pull/3439）似乎修复了.lock级别的安全漏洞，但我不确定它们是否保留在全新安装中。 我觉得这可能会修复主 grapejs 仓库中的版本，但我不确定它是否限制了通过 backbone-undo导入的版本。 如果你通过以下方式建立一个全新的项目 新 yarn.lock 仍会提及这两个版本;