如何高效处理.NET项目中传递依赖包的高危漏洞？

核心思路 #

不用给每个项目手动添加直接依赖，通过集中配置强制传递依赖版本，同时针对性处理触发的NU1510警告，既解决漏洞问题，又避免依赖污染和批量操作的麻烦。

方案一：Central Package Management（CPM）集中管控（推荐） #

之前的传递依赖固定配置没生效，是因为缺少CPM的核心启用开关。调整后步骤如下：

1. 在解决方案根目录创建Directory.Packages.props文件（所有子项目会自动继承该配置）：

<Project>
  <PropertyGroup>
    <!-- 启用CPM集中版本管理 -->
    <ManagePackageVersionsCentrally>true</ManagePackageVersionsCentrally>
    <!-- 开启传递依赖版本固定 -->
    <CentralPackageTransitivePinningEnabled>true</CentralPackageTransitivePinningEnabled>
    <!-- 保留全局TreatWarningsAsErrors配置 -->
    <TreatWarningsAsErrors>true</TreatWarningsAsErrors>
  </PropertyGroup>

  <!-- 强制PackageB使用无漏洞的1.0.1版本 -->
  <ItemGroup>
    <PackageVersion Include="PackageB" Version="1.0.1" />
  </ItemGroup>

  <!-- 抑制NU1510警告：开启传递固定后会提示手动添加依赖，我们不需要这个提示 -->
  <PropertyGroup>
    <NoWarn>$(NoWarn);NU1510</NoWarn>
  </PropertyGroup>
</Project>

这个方案的优势：

• 所有项目自动生效，无需逐个修改csproj
• 不会向项目引入不必要的直接依赖，避免依赖污染
• 集中管理版本，后续更新PackageB版本只需改这一个文件

方案二：条件性添加依赖（精准管控） #

如果不想用CPM，可以通过条件判断，只给依赖PackageA的项目强制PackageB的版本：

在解决方案根目录创建Directory.Build.targets文件：

<Project>
  <!-- 仅当项目直接引用PackageA时，才强制PackageB的安全版本 -->
  <ItemGroup Condition="@(PackageReference->AnyHaveMetadataValue('Identity', 'PackageA'))">
    <PackageReference Include="PackageB" Version="1.0.1" PrivateAssets="all" Visible="false" />
  </ItemGroup>

  <!-- 按需抑制NU1510警告 -->
  <PropertyGroup>
    <NoWarn>$(NoWarn);NU1510</NoWarn>
  </PropertyGroup>
</Project>

这个方案的优势：

• 只给真正需要的项目生效，避免全局引入不必要的依赖
• 同样无需修改单个项目的csproj文件

之前方案失效的原因 #

• 自定义SDK方案：没有添加条件判断，导致所有项目都引入PackageB，造成不必要的依赖污染
• 单独使用<PackageVersion>：未启用CPM时，该标签仅对项目直接引用的包生效，无法控制传递依赖
• 传递依赖固定配置：缺少ManagePackageVersionsCentrally=true开关，CPM未真正启用，导致版本固定不生效

内容的提问来源于stack exchange，提问作者Maarten Kieft