Egg: 关于event-stream后门egg处理了么？

[jakehu]

event-stream 爆出后门。

Issues

[justjavac]

不需要处理吧，event-stream 处理完就行了

[justjavac]

重新 install 就行了，猪哥不锁包

[atian25]

只要不锁版本就没事

[hangxingliu]

删掉之前的 package-lock.json 和 node_modules 然后再 npm install 一次就OK了

[dead-horse]

这个问题不影响 egg

[chaoningx]

删掉之前的 package-lock.json 和 node_modules 然后再 npm install 一次就OK了

一样的，不会升级到最新的版本。

[Runrioter]

把你主项目的package.json deps那块的json贴一下 @chaoningx

[atian25]

hey, please retry after reinstall dependencies and please never lock it.

$ # reinstall deps and never lock it.
$ rm -rf node_modules yarn.lock package-lock.json
$ npm i --no-package-lock

[chaoningx]

把你主项目的package.json deps那块的json贴一下 @chaoningx

"dependencies": {
"egg": "^2.14.1",
"egg-cors": "^2.1.1",
"egg-mongoose": "^3.1.1",
"egg-scripts": "^2.5.0",
"egg-validate": "^2.0.2",
"egg-view-nunjucks": "^2.2.0",
"i": "^0.3.6",
"mime": "^2.4.0",
"oceans-helper": "^1.4.0"
},

[Runrioter]

@chaoningx 按照 @atian25 的方式操作一下 应该没有问题

[chaoningx]

请问一下之后的版本会处理吗？

[dead-horse]

社区已经统一处理了，并且这个问题不影响 egg。

[atian25]

最后统一回复下：

• 该问题我们已经解读源码进行安全分析，结论是：对 Egg 没有任何影响。
• 依赖包的问题，Egg 是通过 semver 引入依赖的，而 event-stream 昨天就已经修复了。
• 因此，只要你没有锁版本，直接按上面的执行，重新安装下依赖，就没问题了。
• 如果依赖安装有问题，大概率是你锁了版本，或者是 CLI 使用问题，可以了解下 Node 模块依赖的相关基础知识，或者看下相关的 npm / yarn 相关文档。