结论：用 npm audit 做基线扫描，配合锁文件和定期升级，把依赖漏洞压到可接受范围。
①先跑 npm audit --production 看生产依赖的风险等级，critical 和 high 必须处理，low 可以排期。
②修复优先用 npm audit fix，涉及破坏性升级时手动改 package.json 并回归测试，别盲目 --force。
③提交 package-lock.json 并锁定版本，避免 CI 每次拉到不同的间接依赖；团队统一 Node 版本，减少环境差异。
④对长期不维护的包做替换评估，尤其是一个包只为一个函数引入的情况，能自己写就自己写。
⑤把 audit 接进 CI，每次合并前跑一遍，漏洞就不会攒成大坑。