如何解析Yarn.lock中开发依赖项的特定依赖项

Question

正在尝试安装开发依赖项，但它的依赖项之一是lodash: 4.17.20。当Snyk扫描我的依赖项时，它会将此依赖项标记为高度安全漏洞。

我们如何才能让这个开发依赖项尝试解析开发依赖项的不同版本的lodash并通过Snyk测试呢？

我认为在yarn.lock文件中，它需要为这个开发依赖项解析一个更高版本的lodash，所以我引用了https://classic.yarnpkg.com/en/docs/selective-version-resolutions/

在我的package.json中做一些事情，比如

  "resolutions": {
    "**/lodash": "^4.17.20"
  }

或

  "resolutions": {
    "<that dev dependency>/lodash": "^4.17.20"
  }

它似乎并没有很好地工作，并且Yarn.lock还没有为那个开发依赖更新lodash依赖。我想看看在不手动更新yarn.lock的情况下是否可以做到这一点，因为我可以看到它将来会被重写。这是在Lerna monorepo中完成的。

Answer 1

来自Snyk团队的更新，截至04月05月21日，他们没有对Lerna的monorepo支持