# @devexpress/eslint-plugin-dx-security 中文文档

规范地址：https://npmcn.com/package/%40devexpress/eslint-plugin-dx-security/

版本：0\.2\.11
npm 元数据更新时间：2026-11-11T16:17:47.090Z
中文译文更新时间：2026-11-12T03:01:41.187Z
软件包许可：MIT

本文由上游 README 翻译，可能存在偏差，请结合原文核对 API、命令与配置。版权与许可归原作者所有。

原始 npm 页面：https://www.npmjs.com/package/%40devexpress/eslint-plugin-dx-security
原文对照：https://npmcn.com/package/%40devexpress/eslint-plugin-dx-security/?lang=original

## 关键信息（来自 npm 元数据）

- 包体积（解压后）：12.8 kB，7 个文件
- 模块格式：ES Module
- TypeScript 类型：未声明
- 运行依赖：4 个
- peer 依赖：eslint ^8 \|\| ^9\.7 \|\| ^10
- 首次发布：2026-03-11T14:32:47.934Z
- 最新版本发布：2026-11-02T14:50:36.111Z
- 近 30 天下载量：18551（2026-10-12 至 2026-11-10，npm 官方下载统计）
- 已发布版本数：7（近 12 个月 7 个）

## 中文简介

用于检测和缓解DevExpress项目安全相关问题的ESLint®插件.

## 安装

```sh
npm install @devexpress/eslint-plugin-dx-security
```

也可以使用：`pnpm add @devexpress/eslint-plugin-dx-security`、`yarn add @devexpress/eslint-plugin-dx-security`、`bun add @devexpress/eslint-plugin-dx-security`

## README

# ESLint 用于开发性项目的安全相关问题检测/处理的插件

用于检测和缓解DevExpress项目安全相关问题的ESLint®插件.

> ⚠️ **重要**:本包仅供内部使用. 它可能含有局限性,不应用于对任务至关重要的软件应用.

## 先决条件/依赖

[ESLint 语录](https://www.npmjs.com/package/eslint) v9+ (英语).

## 安装

```sh
npm install --save-dev @devexpress/eslint-plugin-dx-security
```

## 关键特性

-   一套注重安全的规则
-   JSX 分析对 `*.jsx` 财务报告和审定财务报表 `*.tsx` 文件
-   ASPX 指令剥离处理器 `*.js` 文件
-   第三方规则的可选违规过滤器

### 内部规则

| 规则 | 严重性 |
| --- | --- |
| `no-caller` | 错误 |
| `no-eval` | 错误 |
| `no-implied-eval` | 错误 |
| `no-new-func` | 错误 |

### 微软安全开发生命周期规则

| 规则 | 严重性 |
| --- | --- |
| `@microsoft/sdl/no-angular-bypass-sanitizer` | 错误 |
| `@microsoft/sdl/no-angularjs-bypass-sce` | 错误 |
| `@microsoft/sdl/no-angularjs-enable-svg` | 错误 |
| `@microsoft/sdl/no-angularjs-sanitization-whitelist` | 错误 |
| `@microsoft/sdl/no-document-domain` | 错误 |
| `@microsoft/sdl/no-electron-node-integration` | 错误 |
| `@microsoft/sdl/no-msapp-exec-unsafe` | 错误 |
| `@microsoft/sdl/no-postmessage-star-origin` | 错误 |
| `@microsoft/sdl/no-unsafe-alloc` | 错误 |
| `@microsoft/sdl/no-winjs-html-unsafe` | 错误 |

### 反应规则

| 规则 | 严重性 |
| --- | --- |
| `react/iframe-missing-sandbox` | 错误 |
| `react/no-danger` | 错误 |

#### `redos` 规则

| 规则 | 严重性 |
| --- | --- |
| `redos/no-vulnerable` | 错误( 责任) |

#### `security` 规则

| 规则 | 严重性 |
| --- | --- |
| `security/detect-buffer-noassert` | 错误 |
| `security/detect-child-process` | 错误 |
| `security/detect-disable-mustache-escape` | 错误 |
| `security/detect-new-buffer` | 错误 |
| `security/detect-no-csrf-before-method-override` | 错误 |

### ASPX 指令取出

这个 `strip-aspx-directives` 处理器在 ESLint 解析 a 之前自动删除 ASP.NET 服务器侧指令 `*.js` 文档。 此动作可以防止JavaScript文件中嵌入服务器给定值的语法错误.

替代规则:

| 投入 | 产出 | 说明 |
| --- | --- | --- |
| `'<% … %>'` | `''` | 清除单引文中包含的指令内容. |
| `"<% … %>"` | `""` | 清除双引号中包含的指示内容. |
| `<% … %>` | `""` | 将未关闭指令替换为空双引出字符串. |

## 用法实例

使用下列配置之一来激活插件 :

-   `required`
    
    将此配置添加到 _互联网档案馆的存檔,存档日期2013-12-02_ 在所有文件中执行安全规则:
    
    ```js
    import dxSecurity from '@devexpress/eslint-plugin-dx-security';
    
    export default [
      ...dxSecurity.configs.required,
    ];
    ```
    

-   `required-exclusive`
    
    此配置压制由其它插件定义的 ESLint 规则( 包括 `eslint-disable` 评论)。 用它来禁用可能干扰安全检查的规则.
    
    ```js
    import dxSecurity from '@devexpress/eslint-plugin-dx-security';
    
    export default [
      ...dxSecurity.configs['required-exclusive'],
    ];
    ```
    

## 相关软件包

-   [埃斯林特语name](https://www.npmjs.com/package/eslint)
-   [@microsoft/slint-plugin-sdl (英语)](https://www.npmjs.com/package/@microsoft/eslint-plugin-sdl)
-   [eslint- 插件反应](https://www.npmjs.com/package/eslint-plugin-react)
-   [埃斯林特- 插头- 重复](https://www.npmjs.com/package/eslint-plugin-redos)
-   [安全保护](https://www.npmjs.com/package/eslint-plugin-security)

## 常见问题

### @devexpress/eslint-plugin-dx-security 是什么？

用于检测和缓解DevExpress项目安全相关问题的ESLint®插件\.

### 如何安装 @devexpress/eslint-plugin-dx-security？

在项目目录运行 npm install @devexpress/eslint-plugin-dx-security，或使用 pnpm add / yarn add / bun add。它还需要宿主项目提供 peer 依赖：eslint（^8 \|\| ^9\.7 \|\| ^10）。npm 7 及以上与 pnpm 8 及以上默认会自动安装必需的 peer 依赖，Yarn 需要手动安装。

### @devexpress/eslint-plugin-dx-security 支持 TypeScript 吗？

该包的 package\.json 没有声明类型入口。需要类型提示时，可以在 npm 上查找社区维护的 @types/devexpress\_\_eslint-plugin-dx-security 是否存在。

### @devexpress/eslint-plugin-dx-security 支持 ESM 还是 CommonJS？

以 ES Module 形式发布，推荐使用 import 引入。在 CommonJS 项目中，Node\.js 20\.19\+ / 22\.12\+ 可以直接 require\(\) 不含顶层 await 的 ES Module，更早的版本需要改用动态 import\(\)。

### @devexpress/eslint-plugin-dx-security 可以商用吗？

@devexpress/eslint-plugin-dx-security 使用 MIT 许可。宽松许可：允许商业使用、修改和再分发，通常只需在分发时保留原版权与许可声明。以上为概括，不构成法律意见，请以许可原文为准。

### @devexpress/eslint-plugin-dx-security 的下载量有多少？

根据 npm 官方下载统计，@devexpress/eslint-plugin-dx-security 在 2026/10/12 – 2026/11/10 这 30 天内被下载 18,551 次，日均约 618 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。

### @devexpress/eslint-plugin-dx-security 还在维护吗？

最新版本 0\.2\.11 发布于 2026/11/02（9 天前）；至今共发布 7 个版本，其中过去 12 个月发布了 7 个；首次发布于 2026/03/11。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。