我一直在研究一組項(xiàng)目，處理更新依賴項(xiàng)，有一件事我沒有明確的答案，這就是為什么生成的 sum 文件列出了每個依賴項(xiàng)的這么多舊版本的原因。在我們的項(xiàng)目中，我們引入了一些漏洞，盡管 golang.org/x/crypto 我們通過一個replace帶有安全修復(fù)程序的包發(fā)布指令解決了舊版本的漏洞，但這感覺不太正確，可能會將我們鎖定在一個不安全的包版本中。現(xiàn)在我已經(jīng)完成并更新了依賴于舊版本golang.org/x/crypto的包，并使用 replace 指令循環(huán)回包并嘗試更新，但我仍然看到列出的舊包。我想知道這對我們的項(xiàng)目意味著什么，以及我如何才能找到為什么首先包含這些內(nèi)容？運(yùn)行一個簡單 go mod why -m golang.org/x/crypto 的項(xiàng)目表明唯一依賴的項(xiàng)目 golang.org/x/crypto 是我更新的項(xiàng)目。
1 回答
白板的微信
TA貢獻(xiàn)1883條經(jīng)驗(yàn) 獲得超3個贊
@JimB通過以下語句提供了一些關(guān)于go sum的文檔
go.sum 文件可能包含一個模塊的多個版本的哈希值。go 命令可能需要從依賴項(xiàng)的多個版本加載 go.mod 文件，以便執(zhí)行最小版本選擇。go.sum 還可能包含不再需要的模塊版本的哈希值（例如，在升級之后）。go mod tidy 將添加缺失的哈希，并從 go.sum 中刪除不必要的哈希。
go sum 中定義的結(jié)果包集來自最小版本選擇過程，這似乎是一個很深的話題。
一個示例將導(dǎo)入"google.golang.org/grpc/metadata"到模塊中，在模塊中運(yùn)行go mod tidy，生成的總和文件的一小部分如下：
github.com/golang/protobuf v1.2.0/go.mod h1:6lQm79b+lXiMfvg/cZm0SGofjICqVBUtrP5yJMmIC1U=
github.com/golang/protobuf v1.3.2/go.mod h1:6lQm79b+lXiMfvg/cZm0SGofjICqVBUtrP5yJMmIC1U=
github.com/golang/protobuf v1.3.3/go.mod h1:vzj43D7+SQXF/4pzW/hwtAqwc6iTitCiVSaWz5lYuqw=
github.com/golang/protobuf v1.4.0-rc.1/go.mod h1:ceaxUfeHdC40wWswd/P6IGgMaK3YpKi5j83Wpe3EHw8=
github.com/golang/protobuf v1.4.0-rc.1.0.20200221234624-67d41d38c208/go.mod h1:xKAWHe0F5eneWXFV3EuXVDTCmh+JuBKY0li0aMyXATA=
github.com/golang/protobuf v1.4.0-rc.2/go.mod h1:LlEzMj4AhA7rCAGe4KMBDvJI+AwstrUpVNzEA03Pprs=
github.com/golang/protobuf v1.4.0-rc.4.0.20200313231945-b860323f09d0/go.mod h1:WU3c8KckQ9AFe+yFwt9sWVRKCVIyN9cPHBJSNnbL67w=
github.com/golang/protobuf v1.4.0/go.mod h1:jodUvKwWbYaEsadDk5Fwe5c77LiNKVO9IDvqG2KuDX0=
github.com/golang/protobuf v1.4.1/go.mod h1:U8fpvMrcmy5pZrNK1lt4xCsGvpyWQ/VVv6QDs8UjoX8=
github.com/golang/protobuf v1.4.2/go.mod h1:oDoupMAO8OvCJWAcko0GGGIgR6R6ocIYbsSw735rRwI=
github.com/golang/protobuf v1.4.3/go.mod h1:oDoupMAO8OvCJWAcko0GGGIgR6R6ocIYbsSw735rRwI=
每個對版本的引用都表示最小版本選擇算法圖中的一個節(jié)點(diǎn)
將以下內(nèi)容添加到 mod 文件中
replace github.com/golang/protobuf => github.com/golang/protobuf v1.4.3
并運(yùn)行 a go mod tidy，protobuf 的結(jié)果總和條目更改為：
github.com/golang/protobuf v1.4.3/go.mod h1:oDoupMAO8OvCJWAcko0GGGIgR6R6ocIYbsSw735rRwI=
因?yàn)樵?code>replace指令指示替換所有版本，所以依賴圖中的所有節(jié)點(diǎn)都被替換為 v1.4.3，這只是簡化為包含依賴 v1.4.3 的單個版本
至于我在漏洞掃描器中遇到的問題，似乎它的作者不知道應(yīng)該如何檢查 Golang 的依賴關(guān)系，并將模塊升級到 1.17，其中在 mod 文件中列出了間接依賴關(guān)系并沒有停止總和來自標(biāo)記項(xiàng)目漏洞的條目。
- 1 回答
- 0 關(guān)注
- 746 瀏覽
添加回答
舉報
0/150
提交
取消