package.jsonの編集方法が分からずnpm audit問題が解消できません

Question

初めてnpmを勉強してます。
的外れな質問してたらすみません。

実現したいこと

脆弱性の問題が出てますが、npm audit fixで解消できず。
手動で解消したい。

試したこと

対象は、「lodash」というパッケージになります。

npm ls lodashで確認すると、下から３番目のが3.10.1とバージョンが古かったです。

以下によると、「package.json」を書き換えたら良いとありました。

node.jsで脆弱性のあるパッケージを手動で更新した

ですがpackage.jsonを開くとlodashには「4.17.20」と新しいものが指定されていました。
※一番下の行

{
  "name": "frac",
  "version": "1.0.0",
  "description": "",
  "main": "index.js",
  "scripts": {
    "test": "echo \"Error: no test specified\" && exit 1"
  },
  "author": "",
  "license": "ISC",
  "dependencies": {
    "@frctl/fractal": "^1.5.2"
  },
  "devDependencies": {
    "axios": "^0.21.1",
    "lodash": "^4.17.20"
  }
}

他のページも調べました。
こちらのページでは、書き換えるのは、「package-lock.json」の方とあります。
npm audit fixで解決しないとき

なので
package-lock.json
を開き、
3.10.1のものを
4.17.20に変えて保存、npm installしました。

ですが、こうすると何度やっても
package-lock.jsonが作り直されます（上書きされる）。

どちらの情報に従っても解消できません。

分かる方教えて下さい。
宜しくお願いします。

Comments

[hoshi-takanori]

@frctl/fractal@1.5.2 の依存関係 vorpal@1.12.0 の依存関係 inquirer@0.11.0 の依存関係に lodash@3.10.1 がありますね。どうしたものか…。

[pecchan]

有難う御座います。
そういう風に見ていったら良いのですね。
初めてなもので見方も知りませんでした。

Answer 1

npmのサイトでvorpalを確認すると
バージョン1.12.0 • Public • Published 4 years ago
とあり、４年前から更新されていません。

inquirerを確認すると
バージョン7.3.3 • Public • Published 6 months ago
となっていますが、あなたのvorpal@1.12.0が依存しているinquirerは0.11.0ですね。

lodashが古いのは、vorpalが古すぎるのが原因だと思います。
vorpalの作者に相談してみてはいかがでしょう。（もっと新しいinquirerを使えと）

Comments

[pecchan]

調べていただき有難う御座います。