「dotnet restore」會產生安全性弱點警告
dotnet restore
命令,它會還原專案的相依性和工具,現在預設會產生安全性弱點警告。
先前的行為
先前,dotnet restore
預設不會發出任何安全性弱點警告。
新的行為
如果您要使用 .NET 8 SDK 或更新版本進行開發,dotnet restore
預設會針對 所有還原的專案產生安全性弱點警告。 當您載入解決方案或專案或是執行 CI/CD 指令碼時,如果您已啟用 <TreatWarningsAsErrors>
,則這項變更可能會中斷您的工作流程。
導入的版本
.NET 8 Preview 4
中斷性變更的類型
此變更為行為變更。
變更原因
許多使用者都想要知道他們所還原的套件是否包含任何已知的安全性弱點。 這項功能曾經是高度要求的功能。 每年的安全性考慮都會持續增加,而且一些已知的安全性問題不足以立即採取動作。
建議的動作
若要明確降低由於警告而中斷組建的機率,您可以考慮使用
<TreatWarningsAsErrors>
並使用<WarningsNotAsErrors>NU1901;NU1902;NU1903;NU1904</WarningsNotAsErrors>
來確保環境中仍允許已知的安全性弱點。如果您要設定不同的安全性稽核層級,請將
<NuGetAuditLevel>
屬性新增至項目檔,其中可能值為low
、moderate
、high
和critical
。如果您想要忽略這些警告,您可以使用
<NoWarn>
來隱藏NU1901-NU1904
警告。若要完全停用新的行為,您可以將
<NuGetAudit>
專案屬性設定為false
。