演示 CVE-2021-43616 的仓库 / https://github.com/npm/cli/issues/2701
删除 node_modules 文件夹并运行 npx npm@8 ci，你可以看到 npm 如何安装 2.2.x 版本（在此提交时为 2.2.16），尽管 package-lock.json 要求 2.0.0
cat node_modules/shortid/package.json
我已提交了原始安装中的 node_modules，因此运行 npm ci 后问题显而易见