.NET 7.0解决方案隐式引用含漏洞的Microsoft.NetCore.App 1.1.1的构建与安全疑问

问题背景 #

我正在研究一个基于最新.NET 7.0框架的解决方案，其中包含一个旧NuGet包（暂称Package X），该包依赖于存在安全漏洞的Microsoft.NetCore.App 1.1.1版本，且该Microsoft库仅为隐式引用。

疑问解答 #

1. 还原Package X时，构建过程中是否会下载Microsoft.NetCore.App库？ #

不会。核心原因：

• .NET Core 2.0及以后版本中，Microsoft.NetCore.App是共享框架，不再以普通NuGet包形式被下载到项目packages目录。对于目标框架为.NET 7的项目，构建系统会自动忽略旧版共享框架的隐式依赖请求。
• NuGet遵循跨版本框架替换规则：当项目目标框架是.NET 7，会自动使用当前平台安装的.NET 7共享框架，不会去下载低版本的Microsoft.NetCore.App。Package X声明的1.1.1版本依赖会被判定为“无需满足”，因为共享框架版本由项目目标框架直接决定。

2. 此情况是否存在安全漏洞风险，可能危及整个解决方案？ #

通常不存在直接安全风险，依据如下：

• 解决方案运行在.NET 7 runtime上，所有代码实际调用的是.NET 7版本的类库，而非Package X声明的1.1.1版本。共享框架的加载机制会确保应用使用目标框架对应的runtime，旧版本的依赖定义不会被实际加载。
• 例外场景：如果Package X包含直接调用1.1.1版本特有API的代码，这些API在.NET 7中被移除或行为变更时，会引发运行时兼容性错误，但这不属于安全漏洞风险。
• 验证方法（消除顾虑）：
  • 执行命令 dotnet list package --include-transitive，检查输出中是否有实际引入的旧版本依赖。
  • 执行dotnet publish生成发布包，查看输出目录是否包含Microsoft.NetCore.App相关旧版本文件（正常情况不会存在）。

内容的提问来源于stack exchange，提问作者InitialV