关于Simple Injector v5.4.0组件Snyk检测漏洞的解决方案问询

临时缓解措施 #

• 优先检查该包是否有最新稳定版本，直接升级——新版本通常会修复依赖链中旧.NET Framework相关的漏洞
• 若暂无新版，执行dotnet list package --include-transitive命令列出所有传递依赖，排查是否存在可独立升级的兼容版本
• 确保你的.NET 6 API项目明确指定net6.0为目标框架，还可在项目文件中添加依赖约束，强制依赖项使用.NET Core兼容版本：

  <ItemGroup>
    <PackageReference Include="SimpleInjector.Integration.AspNetCore.Mvc" Version="5.4.0" />
    <!-- 示例：强制升级存在漏洞的传递依赖 -->
    <PackageReference Include="[具体依赖包名]" Version="[兼容.NET 6的版本号]" />
  </ItemGroup>
  

官方反馈建议 #

• 直接在Simple Injector的官方代码仓库提交Issue，需明确说明：
  • 项目环境为.NET 6 API
  • Snyk检测出的5个高危、2个中危漏洞的具体信息
  • 你推测漏洞源于包依赖旧版.NET Framework运行时
• 附带完整的Snyk扫描报告内容，帮助官方快速定位问题

内容的提问来源于stack exchange，提问作者Thomas Limburg