扫描多个NuGet Package.config文件以检测安全漏洞

以下几种工具/方案可以满足你批量处理多个packages.config文件、识别需修补包及对应项目路径的需求：

• NuGet CLI
  这是NuGet官方自带的命令行工具，无需额外安装，适合批量自动化操作。
  你可以结合脚本遍历指定目录下的所有packages.config，扫描有安全更新的包：
  示例Windows批处理脚本：

  @echo off
  set "reportFile=vulnerability_report.txt"
  echo 安全漏洞包检测报告 > %reportFile%
  echo ------------------------ >> %reportFile%
  for /r %%f in (packages.config) do (
      echo. >> %reportFile%
      echo 项目路径: %%f >> %reportFile%
      nuget list packages -source nuget.org -configfile "%%f" >> %reportFile%
  )
  echo 检测完成，报告已保存至%reportFile%
  

  执行后会生成一份包含所有项目中需更新包的报告，其中标注安全相关的更新项。

• dotnet list package 命令
  如果你使用的是较新的Visual Studio，dotnet CLI支持直接扫描解决方案中的依赖漏洞：
  在解决方案根目录执行：

  dotnet list package --vulnerable --include-transitive
  

  该命令会自动识别所有项目（包括使用packages.config的传统ASP.NET MVC项目）中的漏洞包，输出内容包含包名、当前版本、修复版本及所属项目，信息直观清晰。

• Visual Studio 可视化管理
  打开解决方案后，通过工具 > NuGet包管理器 > 管理解决方案的NuGet包进入管理界面：

  1. 切换到「更新」标签页
  2. 勾选「包括预发布」（如果需要安装修复漏洞的预发布版本）
  3. 界面会按项目分组显示所有有可用更新的包，带有盾牌图标的就是安全相关的修补包，直接就能看到所属项目。

• 自定义PowerShell脚本
  如果你需要更灵活的输出格式（比如导出为CSV），可以编写PowerShell脚本遍历解析packages.config：

  $rootPath = "你的项目根目录路径"
  $reportPath = "package_vulnerabilities.csv"
  
  # 初始化CSV表头
  "项目路径,包ID,当前版本" | Out-File -FilePath $reportPath -Encoding UTF8
  
  Get-ChildItem -Path $rootPath -Recurse -Filter packages.config | ForEach-Object {
      $configFullPath = $_.FullName
      $packages = Select-Xml -Path $configFullPath -XPath "/packages/package" | ForEach-Object { $_.Node }
      
      foreach ($pkg in $packages) {
          # 这里可以扩展逻辑，调用NuGet API查询该包是否有安全修复版本
          "$configFullPath,$($pkg.id),$($pkg.version)" | Out-File -FilePath $reportPath -Encoding UTF8 -Append
      }
  }
  
  Write-Host "报告已导出至 $reportPath"
  

  你可以进一步完善脚本，加入版本对比和漏洞信息查询逻辑，让输出更精准。

内容的提问来源于stack exchange，提问作者Richard Housham