pnpm audit

설치된 패키지의 알려진 보안 문제를 확인합니다.

보안 문제가 발견되면 pnpm update를 통해 종속성을 업데이트해 보세요. 단순 업데이트로 모든 문제가 해결되지 않으면, overrides를 사용하여 취약하지 않은 버전을 강제하세요. 예를 들어, lodash@<2.1.0이 취약한 경우, 다음 overrides를 사용하여 lodash@^2.1.0을 강제하세요:

pnpm-workspace.yaml
overrides:
  "lodash@<2.1.0": "^2.1.0"

또는 pnpm audit --fix를 실행하세요.

If you want to tolerate some vulnerabilities as they don't affect your project, you may use the auditConfig.ignoreCves setting.

옵션#

--audit-level <severity>#

  • 유형: low, moderate, high, critical
  • 기본값: low

심각도가 <severity> 이상인 권고만 출력합니다.

pnpm-workspace.yaml의 auditLevel을 통해서도 설정할 수 있습니다.

--fix#

종속성의 취약하지 않은 버전을 강제하기 위해 package.json 파일에 overrides를 추가합니다.

--json#

JSON 형식으로 검사 보고서를 출력합니다.

--dev, -D#

개발 의존성만 검사합니다.

--prod, -P#

프로덕션 종속성만 검사합니다.

--no-optional#

optionalDependencies를 감사하지 않습니다.

--ignore-registry-errors#

레지스트리가 200이 아닌 상태 코드로 응답하면 프로세스가 0으로 종료되어야 합니다. 따라서 레지스트리가 실제로 발견된 취약점에 성공적으로 응답하는 경우에만 프로세스가 실패합니다.

--ignore-unfixable#

버전 10.11.0에서 추가됨

해결 방법이 없는 모든 CVE를 무시합니다.

--ignore <vulnerability>#

버전 10.11.0에서 추가됨

CVE로 취약점을 무시합니다.

환경설정#

auditConfig#

auditConfig.ignoreCves#

pnpm audit 명령에서 무시할 CVE ID 목록입니다.

auditConfig:
  ignoreCves:
    - CVE-2022-36313

auditConfig.ignoreGhsas#

pnpm audit 명령에서 무시할 GHSA 코드 목록입니다.

auditConfig:
  ignoreGhsas:
    - GHSA-42xw-2xvc-qx8m
    - GHSA-4w2v-q235-vp99
    - GHSA-cph5-m8f7-6c5x
    - GHSA-vh95-rmgr-6w4m