问一下怎么在不升级包的情况更改 node_module 包的依赖项版本？

[lifesimple]

package-lock.json 文件，因为 json5 有漏洞，然后需要把更新为 1.0.2 版本，感觉属于大版本升级了。直接改好像不生效，npm install ，还是会变为依赖 0.5.1 。
不想升级 babel-core 到 7 ，怕影响其他东西。
有没有方法不升级 babel-core 只做 json5 的升级，还是说不太可能去实现。

ps: 本来么又不是不能用，奈何公司有个流水线平台 xray 代码检测，得修掉这种高危漏洞才能提测。
感谢

[zsj1029]

1 、直接把版本号改掉，npm i
2 、找到相关调用代码，修改成新用法

[TomVista]

npm i json5@1.0.2

[lifesimple]

@TomVista 项目本身没有用到这个 试过也没效果
@zsj1029 嗯 我上面就是直接更改了 package-lock.json 中 babel-core 里面 json5 的版本号，改完后我 npm i ，又默认变回了 0.5.1

[TomVista]

没认真看是 babel-core,这种情况只能 fork 一份 babel-core,自己改改了,

[gouflv]

webpack resolve alias

[duan602728596]

npm overrides ，yarn resolutions

[duan602728596]

还有就是虽然你不想升级，但是 babel 的版本确实很旧了

[Daming]

@duan602728596 #6
yarn overrides ，pnpm resolutions

[okex]

yarn patch-package