pnpm audit

检查已安装程序包的已知安全问题。

如果发现安全问题，请尝试通过 pnpm update 更新你的依赖项。如果简单的更新不能解决所有问题，请使用 overrides 来强制使用不易受攻击的版本。例如，如果 lodash@<2.1.0 易受攻击，可用这个 overrides 来强制使用 lodash@^2.1.0：

overrides:
  "lodash@<2.1.0": "^2.1.0"

或者，运行 pnpm audit --fix。

如果你希望容忍某些不影响你项目的漏洞，可以使用 audit.ignore 设置。

自 v11 起， pnpm audit 查询注册源的 /-/npm/v1/security/advisories/bulk 端点。响应中不包含 CVE 标识符，因此公告会按 GitHub 公告 ID (GHSA) 进行筛选。如果你之前在 auditConfig.ignoreCves 下列出了 CVE，请将每一项替换为 audit.ignore 下相应的 GHSA-xxxx-xxxx-xxxx 值（该值显示在 pnpm audit 输出的 More info 列中）。

命令#

signatures#

添加于：v11.1.0

pnpm audit signatures

验证已安装软件包的 ECDSA 注册表签名是否与每个注册源在 /-/npm/v1/keys 处发布的公钥一致。通过 注册源 配置的作用域注册表将被遵守；未发布签名密钥的注册源将被跳过。

如果任何软件包的签名无效，或者注册源声明了签名密钥，但发布的软件包没有签名，则该命令将以代码 1 退出。与 --json 结合使用，可获得机器可读的输出。

配置项#

--audit-level <severity>#

• 类型： low, moderate, high, critical
• 默认值：low

仅打印严重性大于或等于 "severity" 的警告

也可以通过 pnpm-workspace.yaml 中的 audit.level 进行设置。

--fix#

强制将不易受攻击的版本，添加覆盖到 pnpm-workspace.yaml 文件中。

使用 --fix=update （在 v11.0.0 中添加）通过更新锁文件中的软件包而不是添加覆盖来修复漏洞。

当设置了 minimumReleaseAge 时， --fix 还会将每个警告的最小补丁版本添加到 minimumReleaseAgeExclude 中，具体位置在 pnpm-workspace.yaml 文件中。，因此无需等待发布期限即可安装安全修复程序。

--interactive, -i#

添加于：v11.0.0

审阅由 --fix 选择的警报，然后选择要应用的那些。仅可与 --fix 一起使用。

--json#

以 JSON 格式输出审查报告。

--dev, -D#

仅审查开发依赖项。

--prod, -P#

仅审查生产依赖项。

--no-optional#

不审查 optionalDependencies。

--ignore-registry-errors#

如果注册源响应了非 200 状态码，则进程应以 0 退出。所以只有当注册源真正成功响应发现的漏洞时，该进程才会执行失败。

--ignore-unfixable#

添加于：v10.11.0

忽略所有没有解决方式的警报。

自 v11 版本起，无法修复的漏洞公告由 GHSA 而非 CVE 进行跟踪。

--ignore <vulnerability>#

添加于：v10.11.0

按 GitHub 公告 ID (GHSA) 忽略漏洞。 v11 版本之前，此标志位接受 CVE 标识符。

配置#

pnpm audit 在 pnpm-workspace.yaml 的 audit 部分中配置（v11.16.0 版本新增）：

audit:
  level: high
  ignore:
    - GHSA-42xw-2xvc-qx8m

audit.level#

• 默认值：low
• 类型： low, moderate, high, critical

仅打印严重程度等于或高于此级别的警告。与 --audit-level 标志相同。

audit.ignore#

将被 pnpm audit 命令忽略的 GHSA 代码列表。

audit:
  ignore:
    - GHSA-42xw-2xvc-qx8m
    - GHSA-4w2v-q235-vp99
    - GHSA-cph5-m8f7-6c5x
    - GHSA-vh95-rmgr-6w4m