面试题：JavaScript 中 Node 模块安全管理之依赖检查

Question

在 Node.js 项目中，如何使用工具检查项目依赖模块的安全漏洞？请列举至少一种常用工具，并简述其基本使用方法。

Answer 1

npm audit

1. 安装：npm 是 Node.js 项目默认的包管理工具，npm audit 命令无需额外安装。
2. 基本使用方法：在项目根目录下打开终端，运行 npm audit 命令。该命令会自动检查项目当前安装的依赖模块，扫描已知的安全漏洞，并生成报告。报告中会详细列出存在漏洞的模块名称、漏洞详情、漏洞等级（如严重、高危、中危、低危等）以及建议的修复措施。例如，可以根据报告提示，使用 npm install <package>@<version> 来安装修复漏洞的指定版本的模块。

snyk

1. 安装：通过 npm install -g snyk 全局安装 snyk 工具。
2. 基本使用方法：在项目根目录下，先使用 snyk auth 进行认证（可选择多种认证方式，如 API 令牌等）。认证完成后，运行 snyk test 命令。snyk 会分析项目的 package.json 文件以及当前安装的依赖，检测潜在的安全漏洞，并输出详细的漏洞报告，包括漏洞描述、受影响的模块及版本范围、修复建议等。对于检测出的漏洞，可以使用 snyk fix 命令尝试自动修复，该命令会根据修复建议更新 package.json 中的依赖版本并安装。