1
node -v          # 查看 Node.js 版本，如 v18.16.0
2
npm -v           # 查看 NPM 版本，如 9.5.1
3
npm doctor       # 全面检查 NPM 环境健康状态（权限/网络/缓存等）
4
which node       # 查看 Node.js 安装路径（Linux/Mac）
5
where node       # 查看 Node.js 安装路径（Windows）

1
npm config list              # 查看当前生效的所有配置
2
npm config list -l           # 查看全部配置（含内置默认值）
3
npm config get registry      # 获取某个配置项的值
4
npm config set key value     # 设置某个配置项
5
npm config delete key        # 删除某个配置项
6
npm config edit              # 用默认编辑器直接打开 .npmrc 文件编辑
7
npm get registry             # 等同于 npm config get registry
8
npm set registry <url>       # 等同于 npm config set registry

1
npm init

1
npm init -y
2
# 等价写法
3
npm init --yes

1
# CTF 复现环境标准起手式
2
mkdir cve-test && cd cve-test
3
npm init -y
4
npm install vm2@3.9.14
5
node poc.js

1
# 扫描当前项目依赖中的已知漏洞（查询 npm 安全数据库）
2
npm audit
3

4
# 以 JSON 格式输出（便于脚本解析或导出报告）
5
npm audit --json
6

7
# 尝试自动修复漏洞（升级到修复版本）
8
npm audit fix
9

10
# 强制修复（可能有破坏性变更，谨慎使用）
11
npm audit fix --force
12
```
13

14
`npm audit` 输出示例解读：
15
```
16
found 3 vulnerabilities (1 moderate, 2 high)
17
# 找到 3 个漏洞：1 个中危，2 个高危
18
# 会显示：包名 / CVE 编号 / 漏洞描述 / 影响版本 / 修复版本

1
npm ls                         # 列出完整依赖树（含间接依赖）
2
npm list                       # 同上
3

4
npm ls --depth=0               # 只看直接依赖（顶层）
5
npm list -g --depth=0          # 查看全局安装的顶层包
6

7
npm ls <package-name>          # 查找某个包是否安装及其位置
8
npm find-dupes                 # 在依赖树中查找重复安装的包

1
# 查看包在注册表中的完整信息（版本/依赖/作者/发布时间等）
2
npm view <package-name>
3
npm info <package-name>        # 同上
4

5
# 查看包的所有历史版本（CTF 核心技能）
6
npm view <package-name> versions
7
npm view vm2 versions          # 示例：查看 vm2 所有版本
8

9
# 查看包的最新版本号
10
npm view <package-name> version
11

12
# 查看包的直接依赖
13
npm view <package-name> dependencies
14

15
# 在浏览器中打开相关页面
16
npm docs <package-name>        # 打开文档页面
17
npm repo <package-name>        # 打开 GitHub 仓库
18
npm home <package-name>        # 打开包的主页
19
npm bugs <package-name>        # 打开 Issue 页面

1
# 第一步：查看目标包所有历史版本
2
npm view vm2 versions
3

4
# 第二步：对比 CVE 影响范围，确定漏洞版本
5
# 第三步：安装目标版本
6
npm install vm2@3.9.14

1
# 检查当前项目中哪些包有可用更新
2
npm outdated
3

4
# 输出示例：
5
# Package  Current  Wanted  Latest  Location
6
# express  4.17.1   4.18.2  4.18.2  node_modules/express
7
# Current: 已安装版本
8
# Wanted:  package.json 版本符号允许的最新版
9
# Latest:  npm 上发布的绝对最新版

1
# 生成当前项目的软件物料清单（Software Bill of Materials）
2
npm sbom

1
npm run <script-name>     # 运行任意自定义脚本
2
npm run                   # 不加参数，列出所有可用脚本
3

4
# 内置快捷命令（这几个不需要加 run）
5
npm start                 # 等价于 npm run start
6
npm test                  # 等价于 npm run test（可简写 npm t）
7
npm stop                  # 等价于 npm run stop
8
npm restart               # 等价于 npm run restart

1
npm adduser                    # 注册新账号并登录（交互式）
2
npm login                      # 登录已有账号
3
npm whoami                     # 查看当前登录的用户名
4
npm logout                     # 登出
5

6
npm token list                 # 查看账号的 Access Token 列表
7
npm token create               # 创建新的 Access Token
8
npm token revoke <id>          # 撤销 Token

1
npm version patch     # 补丁升级：1.0.0 → 1.0.1（修 bug）
2
npm version minor     # 次版本升级：1.0.0 → 1.1.0（新功能）
3
npm version major     # 主版本升级：1.0.0 → 2.0.0（破坏性变更）
4

5
npm version <x.y.z>   # 直接设置为指定版本号
6
npm version prerelease # 预发布版本：1.0.0 → 1.0.1-0

1
npm publish                          # 发布到公开 npm 注册表
2
npm publish --tag beta               # 以 beta 标签发布（不影响 latest）
3
npm publish --access public          # 发布公开的 scoped 包（@scope/pkg）
4

5
npm deprecate <pkg@version> "<msg>"  # 废弃指定版本，安装时显示警告
6
npm unpublish <pkg@version>          # 删除指定版本（发布后 72 小时内有效）
7
npm unpublish <pkg> --force          # 强制删除整个包

1
# 方案一：使用 sudo（不推荐，有安全风险）
2
sudo npm install -g <package>
3

4
# 方案二（推荐）：修改全局安装目录到用户目录
5
mkdir ~/.npm-global
6
npm config set prefix '~/.npm-global'
7
# 然后将 ~/.npm-global/bin 加入 PATH
8
echo 'export PATH=~/.npm-global/bin:$PATH' >> ~/.bashrc
9
source ~/.bashrc
10

11
# 方案三：使用 nvm 管理 Node 版本（根本解决方案）
12
# nvm 安装的 Node.js 天然在用户目录，无权限问题

1
# 坑：package.json 里写的是 ^3.9.14
2
# npm install 实际安装了 3.9.16（已修复漏洞版本）
3
# 复现失败！
4

5
# 解决：安装时不要依赖 package.json，直接精确指定
6
npm install vm2@3.9.14          # 精确版本
7
npm ci                          # 结合 package-lock.json 严格安装

1
# 超时报错：切换镜像源
2
npm config set registry https://registry.npmmirror.com
3

4
# 查看详细网络日志
5
npm install <pkg> --verbose
6

7
# 完全离线安装（使用本地缓存）
8
npm install --prefer-offline

1
# 第一步：查看目标包的所有历史版本
2
npm view <package-name> versions
3

4
# 第二步：对照 CVE 确认漏洞版本号
5

6
# 第三步：新建隔离环境
7
mkdir cve-xxxx && cd cve-xxxx
8
npm init -y
9

10
# 第四步：精确安装漏洞版本
11
npm install <package-name>@<version>
12

13
# 第五步：确认安装版本
14
npm ls <package-name>
15

16
# 第六步：编写并运行 POC
17
node poc.js

1
npm install vm2@3.6.10    # CVE-2019-10761
2
npm install vm2@3.9.3     # CVE-2021-23449
3
npm install vm2@3.9.10    # CVE-2022-36067
4
npm install vm2@3.9.14    # CVE-2023-29017
5
npm install vm2@3.10.0    # CVE-2026-22709

1
# 查看包所有历史版本
2
npm view <pkg> versions
3

4
# 查看某个包的详细信息（含发布时间、依赖等）
5
npm view <pkg>
6

7
# 快速扫描已知漏洞
8
npm audit
9

10
# 查看项目直接依赖
11
npm ls --depth=0
12

13
# 查找某个包在依赖树中的位置
14
npm ls <package-name>