Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Migrating against 10.3.49 produces a repo that fails restore with NU1903 (resolved by 10.4.0 GA)

Đang mở
  • Có gì không ổn?
#618 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 5 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
1/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
35/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
csharp
Lĩnh vực
build-system

Hướng nghiên cứu

Chạy một fallout-migrate mới trên 10.4.0 GA, sau đó chạy ./build.ps1 trong một consumer repository được cấu hình với TreatWarningsAsErrors. Kiểm tra để đảm bảo restore hoàn tất mà không có NU1903, và đóng issue sau khi 10.4.0 GA được phát hành.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug target/vCurrent

@

Problem

Running fallout-migrate today produces a consumer repo that cannot restore. Two behaviours combine:

  1. ResolveFalloutVersionStep pins the latest stable release within the tool major → 10.3.49. Fallout.Common 10.3.49 depends on System.Security.Cryptography.Xml 10.0.6, which carries five high-severity advisories (GHSA-23rf-6693-g89p, GHSA-8q5v-6pqq-x66h, GHSA-cvvh-rhrc-wg4q, GHSA-g8r8-53c2-pm3f, GHSA-mmjf-rqrv-855v).
  2. RewriteCsprojsStep deliberately strips the consumer's explicit System.Security.Cryptography.Xml pin (intentional, #217, to avoid NU1605 downgrade errors).

So the migration removes the consumer's protection and pins them to the vulnerable transitive. On a repo with TreatWarningsAsErrors, ./build.ps1 fails restore immediately with 5× NU1903.

Reproduced end-to-end on FluentAssertions at its last NUKE commit (3eacba9^) with the 10.4.0-rc.5 tool. Corroborating evidence: FluentAssertions' own hand-done migration had to re-add System.Security.Cryptography.Xml 10.0.10 with a comment naming exactly this NU1903.

Outcome

No code change requested — 10.4.0 GA resolves this. Fallout.Common 10.4.0-rc.5 already depends on the patched System.Security.Cryptography.Xml 10.0.10, and ResolveFalloutVersionStep picks the latest stable in-major, so once 10.4.0 ships the migration will pin 10.4.0 and restore cleanly.

Filed to record the diagnosis so the 10.4 release notes can point consumers at it, and so the interaction is on record if the strip-the-pin behaviour is ever revisited for older targets.

Acceptance criteria

  • Confirm a fresh fallout-migrate run against 10.4.0 GA restores cleanly on a TreatWarningsAsErrors consumer
  • Close on 10.4.0 GA publish
    @
Ngôn ngữ chính
C#
Star
169
Fork
21
Merge trung bình
3 ngày 7 giờ
Pull request đã merge (30 ngày)
9

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của Fallout-build/Fallout

Tất cả issue của Fallout-build/Fallout

Issue tương tự

Thêm issue về C#

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.