阿里云检测漏洞

[Elric-pp]

在此输入你需要反馈的 Bug 具体信息（Bug in Detail）：

1. 目前 eggjs 依赖了 urllib，里面依赖 vm2，存在漏洞
2. https://avd.aliyun.com/detail/CVE-2023-37466?spm=0.2020520154.sas.6.ef34rBjvrBjvo4&lang=zh

可复现问题的仓库地址（Reproduction Repo）

https://github.com/eggjs

Node 版本号：

v20.4

Eggjs 版本号：

3.17.3

相关插件名称与版本号（PlugIn and Name）：

none

操作平台与版本号（Platform and Version）：

alpine

[fengmk2]

请设置 https://github.com/eggjs/egg/blob/master/config/config.default.js#L321 config.httpclient.useHttpClientNext = true，就不会使用 urllib2。
目前 vm2 在 urllib2 是 proxy-agent 间接依赖的，不走代理不会使用到。

[fengmk2]

node-modules/urllib#457

[CzyYYDS]

请设置 https://github.com/eggjs/egg/blob/master/config/config.default.js#L321 config.httpclient.useHttpClientNext = true，就不会使用 urllib2。 目前 vm2 在 urllib2 是 proxy-agent 间接依赖的，不走代理不会使用到。

请问下大佬egg项目需要更新urllib 版本吗，还是说直接设置useHttpClientNext就好了

[fengmk2]

请设置 https://github.com/eggjs/egg/blob/master/config/config.default.js#L321 config.httpclient.useHttpClientNext = true，就不会使用 urllib2。 目前 vm2 在 urllib2 是 proxy-agent 间接依赖的，不走代理不会使用到。

请问下大佬egg项目需要更新urllib 版本吗，还是说直接设置useHttpClientNext就好了

重新安装 egg 依赖就可以了，urllib2 最新版本也已经修复了。