依赖扫描发现高危漏洞，团队该直接 npm audit fix --force，还是先做什么？