为何.NET 6 SDK可检测到旧版本未识别的存在安全漏洞的传递依赖

不同版本.NET SDK漏洞检测结果不同的核心原因如下： #

• 漏洞扫描功能的成熟度差异
  dotnet list package --vulnerable 命令在.NET 5 SDK中属于刚上线的预览功能，漏洞库同步逻辑不完善、扫描规则覆盖范围窄，很多公开已知的依赖漏洞会被直接忽略。到.NET 6 SDK阶段该功能正式转正，漏洞库同步频率、扫描规则的完整性都做了全面升级，原来.NET 5下无法检测到的漏洞可以被正常识别。
• 依赖解析和判定逻辑的差异
  .NET 5 SDK解析面向netcoreapp3.1的项目依赖时，会默认将System.Net.Http、System.Text.Encodings.Web这类基础类库包判定为“运行时自带组件”，自动对齐到运行时内置的安全版本，扫描时直接跳过这类包的版本校验。而.NET 6 SDK的解析逻辑更严谨，会优先检查项目还原链路中实际解析到的包版本，哪怕运行时已经有对应补丁，只要引用链中的包版本存在漏洞就会触发告警。
• 传递依赖检测范围的调整
  .NET 6 SDK新增了对旧版框架兼容包的传递依赖漏洞检测，你示例项目中引用的Microsoft.NET.Sdk.Functions 3.0.11是早期发布的Azure Functions SDK，依赖的基础组件版本较低，.NET 5 SDK不会扫描这类兼容包的传递依赖风险，.NET 6 SDK则会覆盖所有引用链路的包版本校验。

这类告警通常不会实际影响项目运行，因为netcoreapp3.1运行时已经内置了漏洞修复后的对应组件，你可以通过升级Microsoft.NET.Sdk.Functions到最新的3.x版本，或者在项目中显式添加高版本的安全包引用覆盖传递依赖，即可消除告警。

内容的提问来源于stack exchange，提问作者chris