chore(deps): remove Microsoft.Data.SqlClient transitive pin once EF Core SqlServer floats a patched SqlClient

Aberta
  • Algo errado?
#610 0 comentários 0 reações 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
3/5
Tempo estimado
1-2 dias
Facilidade para iniciantes
58/100
Tipo de issue
Bug
Clareza
Claramente especificada
Status de atividade
Ativa
Stack de tecnologia
csharp, postgresql
Domínio
devops, security

Direção de pesquisa

Read the Directory.Packages.props pin and the issue's linked background in #602 / PR #609. Test a candidate EFCoreVersion with the pin temporarily removed, then run dotnet nuget why Datasync.Toolkit.sln System.Security.Cryptography.Pkcs and the vulnerable package check. Done when a patched SqlClient is floated, the pin and comment are removed, and the listed restore, build, and test checks pass.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Blocked dependencies Infrastructure

Part of the outdated-package sweep (#587-#594). Follow-up to #602 / PR #609.

Background

#602 added an explicit transitive pin in the root Directory.Packages.props:

<PackageVersion Include="Microsoft.Data.SqlClient" Version="6.1.8" />

Microsoft.EntityFrameworkCore.SqlServer 10.0.14 floats Microsoft.Data.SqlClient 6.1.7, which depends on System.Security.Cryptography.Pkcs 9.0.11 (GHSA-846f-f764-76mx, GHSA-2fmv-rv2c-59x7; fixed in 9.0.21 / 10.0.13). The pin is a workaround and should not live forever.

Task

Remove the Microsoft.Data.SqlClient pin (and its explanatory comment) once a Microsoft.EntityFrameworkCore.SqlServer release floats a Microsoft.Data.SqlClient that is not affected, i.e. one that depends on System.Security.Cryptography.Pkcs >= 9.0.21 (net9.0 group) / >= 10.0.13.

How to check

  1. Bump EFCoreVersion (or test a candidate version) and run dotnet nuget why Datasync.Toolkit.sln System.Security.Cryptography.Pkcs with the pin temporarily removed.
  2. If the resolved Pkcs is >= 9.0.21 and the resolved Microsoft.Data.SqlClient is >= 6.1.8, the pin is no longer needed.

Acceptance criteria

  • Pin and comment removed from Directory.Packages.props.
  • dotnet restore shows no NU1901-NU1904 warnings.
  • dotnet list Datasync.Toolkit.sln package --vulnerable --include-transitive reports nothing.
  • dotnet build && dotnet test pass (Docker running for the SQL Server Testcontainers suite); build-library.yml green.
  • Suggested PR title: chore(deps): remove Microsoft.Data.SqlClient transitive pin.
Linguagem predominante
C#
Estrelas
184
Forks
48
Merge médio
12min
PRs com merge (30d)
21

Preparar o ambiente

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de CommunityToolkit/Datasync

Todas as issues de CommunityToolkit/Datasync

Issues semelhantes

Mais issues de C#

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.