关于Microsoft.AspNet.SignalR v2.4.3升级jQuery至1.9.0及以上的问询

问题背景 #

当前使用的Microsoft.AspNet.SignalR v2.4.3依赖的jQuery v1.6.4被ADO组件治理任务检测出存在Cross-site Scripting（XSS）攻击漏洞，现咨询：是否有升级jQuery至1.9.0（或更高版本）的时间规划或路线图？同时期望获取包含jQuery升级至最新版本的软件包。

组件治理漏洞详情 #

1.9.0版本之前的jQuery存在Cross-site Scripting（XSS）攻击漏洞。jQuery(strInput)函数无法可靠区分选择器与HTML内容。在漏洞版本中，jQuery通过在字符串任意位置查找<字符来判断输入是否为HTML，这让攻击者在构造恶意payload时有更大的灵活性。在修复版本中，jQuery仅当输入明确以<字符开头时才将其视为HTML，这将可利用性限制在能够控制字符串开头的攻击者范围内，这种情况要少见得多。

解答 #

• 官方规划情况：Microsoft.AspNet.SignalR v2.x系列已进入维护阶段，官方仅会针对严重安全问题提供修复，目前没有公开的升级jQuery版本的时间规划或路线图。该技术的后续迭代已转向ASP.NET Core SignalR，后者不再依赖jQuery。
• 可行解决方案：
  • 手动替换项目中的jQuery版本至1.9.0及以上，替换后需全面测试SignalR客户端功能的兼容性，确认不存在API调用冲突或行为差异。
  • 长期建议迁移至ASP.NET Core SignalR，它不仅移除了jQuery依赖，还具备更好的性能、跨平台支持及丰富的新特性。

内容的提问来源于stack exchange，提问作者Solaivel.S