如何使JavaScript依赖关系保持最新？

>过时的JavaScript库：安全风险您不能忽略

钥匙要点：

• >保持JavaScript依赖关系当前对于应用程序安全至关重要。 过时的图书馆创造了网络犯罪分子可利用的漏洞。
> NPM检查，Greenkeeper.io和Snyk等工具帮助管理和更新依赖性，自动化一个关键过程，尤其是对于较大的项目。 通过在浏览器执行之前验证其完整性，
• 子资源完整性（SRI）通过验证其完整性来减轻风险。
>
>这是我们最新的JavaScript新闻通讯的摘录。立即订阅！

>最近分析133,000个网站的一项研究显示了一个惊人的统计数据：37％的人加载了不安全的JavaScript，通常是通过过时的图书馆或第三方服务。 这项研究“您不依赖我”，强调了使用过时的流行库（如Angular和Jquery）的脆弱性。 这促使我亲自调查了潜在的安全风险。

我（失败的）黑客尝试

>我试图利用过时的jQuery版本来违反我自己的网站。虽然我发现了有记录的跨站点脚本（XSS）漏洞，但事实证明，利用比预期的要少，类似于通过

包括不安全的第三方代码 >使用SRI哈希发电机为您自己的资源创建哈希。>

结论：主动依赖管理是关键

>维护更新的JavaScript依赖关系是应用程序安全的关键方面。 虽然在小型项目中可管理，但它需要专门的工具和流程作为项目规模。 过时的图书馆的风险很大，主动依赖管理应该是重中之重。 您对网络开发的这个关键但经常被忽视的方面有何看法？ 在下面的评论中分享您的经验。

经常询问有关JavaScript依赖关系的问题（常见问题解答）

（本节在很大程度上保持不变，只有较小的措辞变化以获得更好的流动和简洁性。）

什么是JavaScript依赖项？ JavaScript依赖性是外部代码或您的项目需要运行的库。 它们包括框架（反应，角），公用事业（Lodash，Moment）和较小的模块。诸如NPM和纱线之类的软件包经理管理这些。 为什么保持最新JavaScript依赖性很重要？

保持依赖性更新对于安全性（补丁），新功能和兼容性至关重要。

>

如何检查我的JavaScript依赖性是否最新？

>

使用npm-check-updates或YARN'Supgrade-interactive命令的工具。

>

如何更新我的JavaScript依赖项？

使用npm update（或npm update <package-name></package-name>）或yarn upgrade>（或yarn upgrade <package-name></package-name>）。

javaScript依赖项中的语义版本控制是什么？

>

>语义版本控制（例如1.2.3）表示变化的性质：主要（不兼容），次要（向后兼容的功能）和补丁（错误修复）。

javascript中的package.json文件是什么？

>包含项目元数据，包括依赖项及其版本。 npm和纱线使用此文件进行安装。

package.jsonpackage.json中的依赖关系和dev依赖关系之间有什么区别？ 运行时需要

>

，而

（例如，测试框架）仅用于开发。

javaScript中的锁定文件是什么？ dependencies>锁定文件（例如，devDependencies，

）指定精确的依赖性版本，确保在环境之间保持一致性。

如何处理JavaScript依赖项中的断裂变化？

读取发行说明，相应地更新您的代码，然后使用全面的测试。package-lock.json> yarn.lockJavaScript中的同行依赖性是什么？

期望由项目的环境提供同行依赖性（例如，需要React的React插件）。

以上是如何使JavaScript依赖关系保持最新？的详细内容。更多信息请关注PHP中文网其他相关文章！