如何强制.NET项目替换依赖树中存在漏洞的指定包版本

以下三种方案均可实现全依赖树内的Microsoft.NETCore.Platforms版本强制对齐，按适用场景选择即可：

方案1：单项目快速强制覆盖（适用单个.NET 5项目场景） #

直接修改项目的.csproj文件，添加带VersionOverride属性的包引用：

<ItemGroup>
  <!-- 将Version和VersionOverride的值替换为已修复漏洞的安全版本号 -->
  <PackageReference Include="Microsoft.NETCore.Platforms" Version="3.1.32" VersionOverride="3.1.32" />
</ItemGroup>

• VersionOverride属性优先级高于所有上层传递依赖的版本约束，无论多少层依赖声明了低版本，最终都会统一使用你指定的版本
• 配置完成后删除本地obj、bin目录，执行dotnet restore重新生成依赖，即可在project.assets.json中确认漏洞版本已被完全移除

方案2：多项目全局统一管控（适用包含多个项目的解决方案） #

使用NuGet中央包管理（CPM）能力全局指定版本：

1. 在解决方案根目录新建Directory.Packages.props文件
2. 写入如下配置：

<Project>
  <PropertyGroup>
    <ManagePackageVersionsCentrally>true</ManagePackageVersionsCentrally>
  </PropertyGroup>
  <ItemGroup>
    <!-- 替换为对应安全版本号 -->
    <PackageVersion Include="Microsoft.NETCore.Platforms" Version="3.1.32" />
  </ItemGroup>
</Project>

• 解决方案下所有项目的该包依赖都会自动对齐到指定版本，不需要逐个修改项目文件

方案3：全局拦截漏洞版本拉取（适用需彻底禁止低版本使用的场景） #

在解决方案级别的NuGet.config文件中添加版本允许规则：

<configuration>
  <allowedVersions>
    <!-- 替换为对应安全版本号，规则表示仅允许拉取大于等于该版本的包 -->
    <package id="Microsoft.NETCore.Platforms" allowedVersions="[3.1.32,)" />
  </allowedVersions>
</configuration>

• 该规则会直接阻止NuGet拉取所有低于指定版本的该包，从源头上避免漏洞版本被引入

验证方式：修改完成后执行dotnet list package --include-transitive命令，即可查看所有传递依赖的版本，确认Microsoft.NETCore.Platforms已完全对齐到安全版本。

内容的提问来源于stack exchange，提问作者Adam