Upgrade Microsoft.OpenApi to 3.x when moving to .NET 11

Đang mở
  • Có gì không ổn?
#301 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
38/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
csharp, github-actions, openapi
Lĩnh vực
api, backend-api-design, devops

Hướng nghiên cứu

The work is blocked on moving the project to .NET 11 and Microsoft.AspNetCore.OpenApi 11.x becoming stable. Start by checking TaskFlow.Api/TaskFlow.Api.csproj and .github/dependabot.yml, then compare /openapi/v1.json and npm run gen:api before and after the upgrade. Done means using Microsoft.OpenApi 3.5.4 or later, removing the major-version ignore and pin comment, and checking whether #165 adds a dependency constraint.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

blocked dependencies

Follow-up from #279 / #300 (chore(deps): ignore Microsoft.OpenApi major updates and document the 2.x pin).

Problem

Microsoft.OpenApi is pinned to 2.x (2.7.5, the CVE-2026-49451 / GHSA-v5pm-xwqc-g5wc fix for 2.x). The 3.x line cannot be used on .NET 10: Microsoft.AspNetCore.OpenApi on .NET 10 caps Microsoft.OpenApi below 3.0.0, and its source generator fails with CS0200 on IOpenApiMediaType.Example against 3.x.

Dependency ranges, from the published nuspecs on nuget.org:

Microsoft.AspNetCore.OpenApi Microsoft.OpenApi dependency
10.0.8 (current) 2.0.0 minimum
10.0.14 (latest stable 10.x, 2026-10-30) not re-checked; 10.0.13 was [2.12.2, 3.0.0)
11.0.0-rc.3.26522.148 (latest, 2026-10-30) not re-checked; rc.2 was [3.10.2, 4.0.0)

There is no stable 11.0.0 yet. The project is staying on .NET 10 for now, so #300 added a Dependabot ignore for Microsoft.OpenApi major updates (.github/dependabot.yml, nuget block). That ignore has no expiry.

Scope

Upgrade Microsoft.OpenApi to a 3.x release once the project moves to .NET 11 (and Microsoft.AspNetCore.OpenApi 11.x is stable).

  • Use 3.5.4 or later. 3.x versions up to 3.5.3 are affected by CVE-2026-49451; 3.5.4 is the patched release.
  • Remove the ignore for Microsoft.OpenApi in .github/dependabot.yml and the pin comment in TaskFlow.Api/TaskFlow.Api.csproj.
  • Re-check that /openapi/v1.json and npm run gen:api output are unchanged or intentionally changed.
  • Link with #165 (Asp.Versioning.Mvc v10), resolved 2026-10-30 from the nuspec: Asp.Versioning.OpenApi 10.2.3 depends on Microsoft.OpenApi [2.7.5, 3.0.0), so adopting it on .NET 10 would block this upgrade until Asp.Versioning ships a release that accepts Microsoft.OpenApi 3.x. #165 is therefore on hold. Check for such a release before starting this issue.
  • Part of #372 (Move to .NET 11).

Blocked by

The decision to move the project to .NET 11. If that decision is never made, this issue can be closed together with the ignore rationale.

Created with Claude Code following #300

Ngôn ngữ chính
C#
Star
1
Fork
0
Merge trung bình
2 giờ 2 phút
Pull request đã merge (30 ngày)
98

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của nevridge/TaskFlow

Tất cả issue của nevridge/TaskFlow

Issue tương tự

Thêm issue về C#

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.