Migrating against 10.3.49 produces a repo that fails restore with NU1903 (resolved by 10.4.0 GA)
维护者通常 5 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 1/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 35/100
- Issue 类型
- 缺陷
- 描述清晰度
- 描述清楚
- 活跃度
- 冷清
- 技术栈
- csharp
- 领域
- build-system
调研方向
针对 10.4.0 GA 运行一次全新的 fallout-migrate，然后在配置了 TreatWarningsAsErrors 的使用者存储库中运行 ./build.ps1。检查还原是否在没有 NU1903 的情况下完成，并在 10.4.0 GA 发布后关闭 issue。
由索引模型根据 Issue 内容生成。
描述
@
Problem
Running fallout-migrate today produces a consumer repo that cannot restore. Two behaviours combine:
ResolveFalloutVersionSteppins the latest stable release within the tool major →10.3.49.Fallout.Common10.3.49 depends onSystem.Security.Cryptography.Xml10.0.6, which carries five high-severity advisories (GHSA-23rf-6693-g89p, GHSA-8q5v-6pqq-x66h, GHSA-cvvh-rhrc-wg4q, GHSA-g8r8-53c2-pm3f, GHSA-mmjf-rqrv-855v).RewriteCsprojsStepdeliberately strips the consumer's explicitSystem.Security.Cryptography.Xmlpin (intentional, #217, to avoid NU1605 downgrade errors).
So the migration removes the consumer's protection and pins them to the vulnerable transitive. On a repo with TreatWarningsAsErrors, ./build.ps1 fails restore immediately with 5× NU1903.
Reproduced end-to-end on FluentAssertions at its last NUKE commit (3eacba9^) with the 10.4.0-rc.5 tool. Corroborating evidence: FluentAssertions' own hand-done migration had to re-add System.Security.Cryptography.Xml 10.0.10 with a comment naming exactly this NU1903.
Outcome
No code change requested — 10.4.0 GA resolves this. Fallout.Common 10.4.0-rc.5 already depends on the patched System.Security.Cryptography.Xml 10.0.10, and ResolveFalloutVersionStep picks the latest stable in-major, so once 10.4.0 ships the migration will pin 10.4.0 and restore cleanly.
Filed to record the diagnosis so the 10.4 release notes can point consumers at it, and so the interaction is on record if the strip-the-pin behaviour is ever revisited for older targets.
Acceptance criteria
- Confirm a fresh
fallout-migraterun against 10.4.0 GA restores cleanly on aTreatWarningsAsErrorsconsumer - Close on 10.4.0 GA publish
@
- 主要语言
- C#
- 星标
- 169
- 派生
- 21
- 平均合并
- 3 天 7 小时
- 30 天内合并 PR
- 9
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
Fallout-build/Fallout 的其他 Issue
-
难度 2/5 1-3 小时 新手友好度 76/100
Fallout-build/Fallout#708 ·
维护者通常 5 天内回复
-
.\build.ps1 in its current state isn't capable for :add-package command可能已有人在做 @ITaluone 于 36 天前认领。 未关闭bug needs-triage
难度 2/5 1-3 小时 新手友好度 84/100
Fallout-build/Fallout#670 ·
维护者通常 5 天内回复
-
PR #640 causes very annoying .NET SDK not found可能已有人在做 @ITaluone 于 1 天前认领。 未关闭bug needs-triage
难度 2/5 1-3 小时 新手友好度 86/100
Fallout-build/Fallout#669 · 3 条评论 ·
维护者通常 5 天内回复
-
CD enhancement
难度 2/5 1-3 小时 新手友好度 78/100
Fallout-build/Fallout#649 ·
维护者通常 5 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 72/100
Fallout-build/Fallout#630 · 1 条评论 · 1 个 reaction ·
维护者通常 5 天内回复
查看 Fallout-build/Fallout 的全部 Issue
相似的 Issue
-
难度 1/5 1 小时以内 新手友好度 88/100
microsoft/vscode-docs#10499 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
维护者通常 1 天内回复
-
python triage
难度 2/5 1-3 小时 新手友好度 72/100
microsoft/semantic-kernel#14615 ·
维护者通常 3 天内回复
-
难度 2/5 1-3 小时 新手友好度 75/100
vzeol/DeployCraft#125 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
apache/arrow-adbc#4915 · 1 条评论 ·
维护者通常 1 天内回复