用 overrides 锁定传递依赖

找到路径，再切断

传递漏洞通过依赖链到达你。用 pnpm why 查看链条，再加 override 强制所有消费方使用已修复版本。

{
  "pnpm": {
    "overrides": { "[email protected]": "5.0.1" }
  }
}

验证并审计

重新安装，确认 pnpm why 只显示已修复版本，再跑审计。override 记入锁文件，此后每次安装都得到安全版本，无需额外动作。

pnpm install && pnpm why ansi-regex && pnpm audit --prod

预期结果

锁文件不含漏洞版本，该包审计干净，测试仍通过。直接依赖发布修复后应移除 override，避免成为隐性技术债。override 仅锁定版本，不会跨大版本回溯修复，破坏性变更仍可能影响消费方。