最新

如今的 CVE（通用漏洞披露）数量简直是疯狂的，我想知道你们大家是如何处理更新的？我知道大型组织在这方面更有条理——有私有依赖项注册表，并附带某种审查流程，这样就不是每个人都必须决定采用哪个版本。 但对于没有私有注册表平台解决方案的小型项目呢？你们是如何更新软件包的？特别是对于那些不经常进行更改的项目。 我真的很想知道。是仅仅在本地运行 `npm update` 或类似的命令吗？还是在受控环境（如 GitHub Actions）中进行？ 你们会请求 LLM（大型语言模型）来代劳吗？你们是如何扩展 semver（语义化版本）约束的？ 根据我的个人经验，这需要花费大量的时间和精力： 1. 我需要审查所有的 CVE（例如，由 Dependabot 报告的）。 2. 然后收集所有已修复的版本，并祈祷有针对我当前主版本的补丁。 3. 如果没有，就去查看我需要更新的所有内容的变更日志。 4. 然后我需要弄清楚在我的项目中具体需要更新什么。 5. 有时更改会非常大，或者 LLM 不足以完成迁移（这对于 UI 相关的部分尤其敏感）。 6. 然后进行更新。有时，这可能需要更新其他软件包或覆盖版本。 我想知道其他人是如何做的，特别是小型公司。 * 你们是否有依赖项更新的周期？ * 你们是否利用任何额外的工具来简化这个过程？ * 你们是否有关于忽略哪些警报的流程？