​

开发依赖安全审计记录

• 检查日期：2026-07-20
• 生产依赖：npm audit --omit=dev 为 0
• 已登记风险：4 个中危项，均来自 drizzle-kit@0.31.10 的开发工具链
• 依赖链：drizzle-kit → @esbuild-kit/esm-loader → @esbuild-kit/core-utils → esbuild
• Advisory：GHSA-67mh-4wv8-2f99

这些包仅在本地生成和检查数据库迁移时使用，不进入生产运行时。当前不通过降级 Drizzle Kit 规避风险，以免引入 Schema 或迁移兼容性问题。升级 Drizzle Kit 时必须重新 执行完整审计；除上述四项外出现任何新漏洞，本地上线验收都会失败。