.NET 6中依赖项标准库程序集来源及版本加载机制咨询

1. .NET运行时与标准库的关系 #

.NET 6运行时内置了全套标准类库，包括System.Net.Http这类核心组件，这些库属于运行时的核心部分，不会以独立NuGet包的形式存在于应用的输出目录中。

2. 依赖项的加载来源 #

• 对于.NET Core/.NET 5+应用，框架类库（如System.Net.Http）默认优先从已安装的.NET运行时加载，而非应用本地的NuGet包目录。
• 仅当应用明确配置了"包引用优先"规则，或运行时中缺失对应组件时，才会尝试加载本地包版本。

3. 版本兼容与绑定重定向逻辑 #

当依赖项（如Fluent NHibernate）声明需要System.Net.Http 4.3.0，但运行时提供更高版本（如4.3.4）时：

• .NET的程序集绑定重定向机制会自动处理版本兼容，将对旧版本的请求重定向到运行时内置的更高兼容版本。
• Fluent NHibernate的DLL本身不会包含System.Net.Http 4.3.0的代码，它仅在依赖声明中指定了最低版本要求，实际运行时会使用运行时提供的安全版本。

4. 安全扫描误报的说明 #

安全扫描工具通常通过分析项目文件中的依赖声明（如.csproj）判断版本，而非检测实际运行时加载的版本。你看到的"使用4.3.0版本"大概率是扫描工具的误报，实际运行时应用会使用.NET 6.0.9内置的安全版本。

验证实际加载版本的方法 #

你可以通过以下代码确认运行时实际加载的System.Net.Http版本：

var assembly = typeof(System.Net.Http.HttpClient).Assembly;
Console.WriteLine($"Loaded System.Net.Http version: {assembly.GetName().Version}");

内容的提问来源于stack exchange，提问作者Mr. Spock