關於所需寶石的不安全/過時的寶石依賴性，可以做些什麼？

Question

我有包含在預先提交和配置項中的bundler-audit（檢查已知脆弱寶石）。它出現了以前版本的nokogiri寶石中的已知漏洞，並建議我升級。

但是，這裏有一個問題：易受攻擊的寶石是Rails的傳遞依賴項和其他一些我不能剝離的寶石。其中一些使用了悲觀版本說明符，它明確排除了我需要升級的nokogiri版本。

在這樣的情況下，人們會做什麼？有什麼建議？

Answer 1

如果當前的Rails 4.x gem具有此依賴性，請針對Rails提出錯誤。

雖然，如果當前的Rails 4.x版本依賴於不安全版本的Gem，我會感到非常驚訝。