Bảo MậtKhông. Đọc kết quả audit theo kiểu "số càng nhỏ càng tốt" dẫn tới hai sai lầm: nâng bừa gây hỏng build, hoặc bỏ qua cả danh sách vì "toàn cảnh báo giả".
Quy trình hợp lý:
1. Phân loại theo đường đi thực tế. Lỗ hổng nằm trong devDependencies (build tool, test runner) không chạy trên production — mức độ khác hẳn với lỗ hổng trong package xử lý request của user. Xem thêm lỗ hổng có nằm trên đường code bạn thực sự gọi hay không.
2. Ưu tiên critical/high có khai thác từ xa và có patch sẵn. Cập nhật trước nhóm này, mỗi lần một nhóm nhỏ, có test và có khả năng rollback.
3. Với transitive dependency chưa được package cha nâng: dùng pnpm.overrides (npm là overrides, yarn là resolutions) để ép version vá, ghi lại lý do và hạn xem lại.
4. Cái không sửa được thì ghi nhận có thời hạn — chấp nhận rủi ro là quyết định hợp lệ, nhưng phải thành văn bản và có ngày rà lại, không phải im lặng bỏ qua.
Về phòng ngừa:
- Commit lockfile và cài bằng pnpm install --frozen-lockfile trong CI — nếu không, build hôm nay và hôm qua có thể ra cây phụ thuộc khác nhau.
- Bật Dependabot/Renovate để cập nhật nhỏ, đều đặn. Nâng version thường xuyên rẻ hơn nhiều so với một lần nhảy 3 major khi có CVE gấp.
- Giảm số lượng dependency ngay từ đầu: mỗi package thêm vào là thêm bề mặt tấn công và thêm việc phải theo dõi.