create-react-app(react-scripts) の X high severity vulnerabilities の警告について

経緯

create-react-app(react-scripts) で作ったアプリに対して、パッケージ追加等をすると次のような脆弱性の警告が表示されます。

up to date, audited 1485 packages in 5s

197 packages are looking for funding
run npm fund for details

6 high severity vulnerabilities

To address all issues (including breaking changes), run:
npm audit fix –force

Run npm audit for details.

脆弱性がある、と言われるとさすがに放置はできないのでどうにかできないものかと調べました。

対応

結論から言うと、今回のケースでは無視して良い、とのことでした。

• create-react-appでは脆弱性の警告が出るが無視して良い

理由としては

• 警告の発出元である npm audit 自体の警告が不正確
• 今回のケース(create-react-app(react-scripts))では依存パッケージはビルドツールとして用いられており、殆どの場合は成果物に含まれるわけではない (と思われる)
• ビルドツールとして脆弱性があればアップデートがあるはず

といったところのようです。

言われて見れば確かに、というところですね。

それでも気になる場合は

• dependencies にある react-scripts を devDependencies に移動させる
  • npm audit --production を使用する
• パッケージインストール時は npm install --no-audit で audit を使用しないように指定する

とすることで警告を表示させなくすることができるとのこと。

参考

• create-react-appでは脆弱性の警告が出るが無視して良い
• npmパッケージのvulnerability対応フロー – Qiita