如何定位Visual Studio解决方案中存在漏洞的NuGet包？

• 利用包管理器控制台命令查询
  打开Visual Studio的「工具」→「NuGet包管理器」→「包管理器控制台」，执行以下命令：

  Get-Package -IncludePrerelease | Where-Object { $_.HasPackageSourceMetadata -and $_.PackageSourceMetadata.Vulnerabilities }
  

  执行后会直接列出所有带有漏洞标记的NuGet包，以及对应的漏洞关联信息。

• 通过解决方案资源管理器直接识别
  在解决方案资源管理器中，展开项目下的「依赖项」→「NuGet」节点，存在安全漏洞的包会显示黄色警告图标。右键点击该包选择「查看详情」，就能在弹出的面板里看到具体的漏洞描述、风险等级，以及官方推荐的修复版本。

• 在NuGet包管理器中筛选漏洞包
  点击警告里的「Manage NuGet Packages」打开解决方案级别的包管理器，切换到「已安装」标签，点击顶部的「筛选器」下拉菜单，勾选「有漏洞的包」选项，列表会自动过滤出所有存在漏洞的已安装包，点击任意包即可查看完整的漏洞详情和升级建议。

• 检查项目配置文件核对版本
  对于使用packages.config的传统项目，打开该文件找到对应包的版本号，再回到NuGet包管理器中查找该包的最新安全版本；对于SDK风格项目（使用PackageReference），直接查看项目文件（.csproj等）里的包版本，再通过包管理器的详情面板确认是否存在版本漏洞。

内容的提问来源于stack exchange，提问作者FluffyBike