借助 NuGet Audit 让我们的应用更安全
💡
原文中文，约5800字，阅读约需14分钟。
📝
内容提要
NuGet Audit 是一款帮助开发者识别代码中安全漏洞的工具，特别是针对旧版 NuGet 包。它基于 GitHub 的安全建议数据库，能够及时发现依赖中的风险。升级到 .NET 8/9 后，NuGet Audit 默认启用，支持多种配置，保障软件供应链安全。
🎯
关键要点
- NuGet Audit 是帮助开发者识别代码中安全漏洞的工具，特别是针对旧版 NuGet 包。
- NuGet Audit 基于 GitHub 的安全建议数据库，能够及时发现依赖中的风险。
- 升级到 .NET 8/9 后，NuGet Audit 默认启用，支持多种配置，保障软件供应链安全。
- NuGet Audit 可以在还原项目依赖时触发检查，帮助发现安全风险。
- 通过 dotnet restore 和 dotnet list package 命令可以查看依赖的安全漏洞。
- 可以将 NuGet Audit 的警告信息设置为错误，以引起更多注意。
- 未来 NuGet Audit 将支持自动修复项目中的安全漏洞，提升安全性。
- SBOM（软件物质清单）将帮助安全团队更好地理解和审计依赖。
❓
延伸问答
NuGet Audit 是什么？
NuGet Audit 是一款帮助开发者识别代码中安全漏洞的工具，特别是针对旧版 NuGet 包。
为什么开发者需要使用 NuGet Audit？
开发者需要使用 NuGet Audit 来及时发现依赖中的安全风险，从而保障软件供应链的安全。
如何在项目中启用 NuGet Audit？
在升级到 .NET 8/9 后，NuGet Audit 默认启用，开发者可以通过配置来控制其行为。
如何查看项目中的安全漏洞？
可以通过 dotnet restore 和 dotnet list package 命令查看项目中的安全漏洞。
NuGet Audit 未来有哪些计划？
未来 NuGet Audit 将支持自动修复项目中的安全漏洞，并支持基于本地文件的审计源。
如何将 NuGet Audit 的警告信息设置为错误？
可以通过 MSBuild 的特性，将警告信息设置为错误，以引起更多注意。
🏷️
标签
➡️
