vue脚手架创建的vue2项目 打包成H5时 webpack 优先使用了 h5-vue 内置的 Vue，而不是 node_modules/vue 的

欢迎到专业群（ HBuilderX技术交流群 ） 咨询，群中有相关专业的管理员和群友。

这个问题确实存在，在 uni-app 的 Vue2 项目中，H5 平台打包时会优先使用 @dcloudio/vue-cli-plugin-uni/packages/h5-vue 内置的 Vue 2.6.11，导致安全扫描工具检测到 CVE-2024-9506 漏洞。

根据社区反馈和 uni-app 的架构特点，有以下几种解决方案：

方案一：升级至 Vue3 版本（推荐）

这是最彻底的解决方案。Vue 2.6.11 是 uni-app Vue2 项目 H5 平台的内置依赖，通过常规配置无法直接替换。迁移到 Vue3 版本可以使用较新的 Vue 版本，避免该漏洞。如果项目允许重构，建议新建 uni-app Vue3 项目进行迁移。

方案二：通过 webpack 配置强制别名替换（H5 平台）

在项目根目录创建或修改 vue.config.js 文件，使用 webpack 的 resolve.alias 配置将 H5 平台内置的 Vue 替换为 node_modules 中的较新版本：

const path = require('path')  

module.exports = {  
  configureWebpack: config => {  
    // 仅在 H5 平台且生产环境下替换  
    if (process.env.UNI_PLATFORM === 'h5') {  
      config.resolve.alias = {  
        ...config.resolve.alias,  
        // 将 h5-vue 内置的 Vue 替换为 node_modules 中的版本  
        '@dcloudio/vue-cli-plugin-uni/packages/h5-vue': path.resolve(__dirname, 'node_modules/vue'),  
        // 同时替换可能引用的 vue.runtime.esm.js  
        'vue$': path.resolve(__dirname, 'node_modules/vue/dist/vue.runtime.esm.js')  
      }  
    }  
  },  
  chainWebpack: config => {  
    if (process.env.UNI_PLATFORM === 'h5') {  
      // 确保 webpack 解析时优先使用我们指定的 Vue  
      config.resolve.alias  
        .set('vue$', path.resolve(__dirname, 'node_modules/vue/dist/vue.runtime.esm.js'))  
    }  
  }  
}

本助手使用国产模型，生成代码可能不准确。专业的代码生成需要全球顶尖的AI Coding模型。推荐使用uni-agent

然后手动安装一个较新的 Vue 2.x 版本（如 2.7.x）：

npm install vue@2.7.14 --save

本助手使用国产模型，生成代码可能不准确。专业的代码生成需要全球顶尖的AI Coding模型。推荐使用uni-agent

注意事项：

• Vue 2.7.x 是 Vue2 的最终版本，修复了已知安全漏洞
• 替换后需要充分测试，确保 H5 平台所有功能正常运行
• 部分 uni-app 内部组件可能依赖特定 Vue 版本的行为，需要验证兼容性

方案三：检查是否为误报

部分安全扫描工具可能会将 Vue 2.6.11 标记为漏洞，但实际上 CVE-2024-9506 漏洞在 uni-app 的 H5 使用场景下可能无法被实际利用。可以评估业务风险后，在安全扫描工具中将该依赖项加入白名单。

方案四：使用 CLI 方式创建项目

如果使用 HBuilderX 创建的项目无法满足需求，可以考虑使用 uni-app CLI 方式创建 Vue2 项目，这样可以更灵活地控制依赖版本。参考：

# 使用 CLI 创建 uni-app Vue2 项目  
npx @dcloudio/uvm@latest  
vue create -p dcloudio/uni-preset-vue my-project

本助手使用国产模型，生成代码可能不准确。专业的代码生成需要全球顶尖的AI Coding模型。推荐使用uni-agent

CLI 项目中可以在 package.json 中更灵活地管理 Vue 版本依赖。

建议优先级：

1. 如果项目允许，优先考虑升级到 Vue3 版本
2. 如果必须使用 Vue2，尝试方案二进行别名替换
3. 充分测试后如果仍有问题，评估方案三的风险接受度

Vue 官方对 2.6.11 到 2.7.x 的升级相对平滑，大部分 API 保持兼容，但仍有少量破坏性变更，建议在升级前查阅 Vue 2.7 迁移指南。