GitHub Actions检测NuGet脆弱包时构建异常失败排查

问题背景 #

配置GitHub Actions时，需求是：只要解决方案项目（含间接依赖的NuGet包）检测到脆弱包，就让CI构建直接失败。但实际操作中遇到了不少问题：

• 最初使用dotnet list package --vulnerable --include-transitive命令，无论是否存在脆弱包，命令都返回0退出码，无法触发构建失败
• 改用grep匹配日志里的「High」「Critical」风险等级关键词，结果无脆弱包时grep找不到匹配项，反而返回非零码导致构建误失败
• 尝试用--format json输出结果做判断，却因有无脆弱包时JSON结构不一致，导致判断逻辑直接失效

问题原因 #

1. dotnet命令设计限制：dotnet list package --vulnerable仅负责输出漏洞信息，无论是否检测到漏洞都会返回0退出码，无法直接让CI感知失败状态
2. grep特性导致误判：grep未匹配到内容时会返回退出码1，而GitHub Actions会将所有非0退出码判定为构建失败，因此无漏洞时反而触发了构建终止
3. JSON结构差异：存在脆弱包时，JSON输出包含非空的Vulnerabilities数组；无脆弱包时该数组为空或不存在，导致基于jq的判断脚本报错或逻辑出错

解决方案 #

方案一：改进grep使用逻辑 #

利用grep静默模式（-q）配合条件判断，仅在匹配到高风险关键词时触发构建失败：

- name: 检测高风险NuGet脆弱包
  run: |
    # 匹配High/Critical级别的漏洞，匹配到则终止构建，否则继续
    dotnet list package --vulnerable --include-transitive | grep -qE "(High|Critical)" && exit 1 || exit 0

解释：grep -qE静默匹配指定关键词，匹配成功返回0，执行exit 1触发构建失败；匹配失败返回1，执行exit 0让构建正常推进。

方案二：用jq统一处理JSON输出 #

先让dotnet输出JSON格式结果，再用jq统一判断是否存在高风险漏洞，规避结构差异问题：

- name: 检测高风险NuGet脆弱包
  run: |
    # 获取JSON格式的漏洞检测结果
    VULN_RESULT=$(dotnet list package --vulnerable --include-transitive --format json)
    # 用jq判断是否存在High/Critical级别的漏洞
    echo "$VULN_RESULT" | jq -e 'any(.[]; .Vulnerabilities | any(.[]; .Severity == "High" or .Severity == "Critical"))'
    # 若存在高风险漏洞，终止构建
    if [ $? -eq 0 ]; then
      echo "发现高/严重级别的脆弱NuGet包，构建终止"
      exit 1
    fi

解释：jq -e会在表达式结果为true时返回0，此时主动执行exit 1触发构建失败；若无高风险漏洞，jq返回非零码，脚本继续执行，构建正常推进。

方案三：使用专用NuGet漏洞检测Action #

可以直接使用GitHub上的NuGet漏洞检测专用Action，这类工具已封装好漏洞判断和构建失败逻辑，无需自行处理边界情况，配置更简单。

内容的提问来源于stack exchange，提问作者fingers10