chore(deps): remove Microsoft.Data.SqlClient transitive pin once EF Core SqlServer floats a patched SqlClient

Aperta
  • Qualcosa non va?
#610 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
58/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
csharp, postgresql
Ambito
devops, security

Direzione di ricerca

Read the Directory.Packages.props pin and the issue's linked background in #602 / PR #609. Test a candidate EFCoreVersion with the pin temporarily removed, then run dotnet nuget why Datasync.Toolkit.sln System.Security.Cryptography.Pkcs and the vulnerable package check. Done when a patched SqlClient is floated, the pin and comment are removed, and the listed restore, build, and test checks pass.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Blocked dependencies Infrastructure

Part of the outdated-package sweep (#587-#594). Follow-up to #602 / PR #609.

Background

#602 added an explicit transitive pin in the root Directory.Packages.props:

<PackageVersion Include="Microsoft.Data.SqlClient" Version="6.1.8" />

Microsoft.EntityFrameworkCore.SqlServer 10.0.14 floats Microsoft.Data.SqlClient 6.1.7, which depends on System.Security.Cryptography.Pkcs 9.0.11 (GHSA-846f-f764-76mx, GHSA-2fmv-rv2c-59x7; fixed in 9.0.21 / 10.0.13). The pin is a workaround and should not live forever.

Task

Remove the Microsoft.Data.SqlClient pin (and its explanatory comment) once a Microsoft.EntityFrameworkCore.SqlServer release floats a Microsoft.Data.SqlClient that is not affected, i.e. one that depends on System.Security.Cryptography.Pkcs >= 9.0.21 (net9.0 group) / >= 10.0.13.

How to check

  1. Bump EFCoreVersion (or test a candidate version) and run dotnet nuget why Datasync.Toolkit.sln System.Security.Cryptography.Pkcs with the pin temporarily removed.
  2. If the resolved Pkcs is >= 9.0.21 and the resolved Microsoft.Data.SqlClient is >= 6.1.8, the pin is no longer needed.

Acceptance criteria

  • Pin and comment removed from Directory.Packages.props.
  • dotnet restore shows no NU1901-NU1904 warnings.
  • dotnet list Datasync.Toolkit.sln package --vulnerable --include-transitive reports nothing.
  • dotnet build && dotnet test pass (Docker running for the SQL Server Testcontainers suite); build-library.yml green.
  • Suggested PR title: chore(deps): remove Microsoft.Data.SqlClient transitive pin.
Lingua principale
C#
Stelle
184
Fork
48
Merge medio
12m
PR unite (30g)
21

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di CommunityToolkit/Datasync

Tutte le issue di CommunityToolkit/Datasync

Issue simili

Altre issue su C#

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.