直接参照されていないライブラリにアクセスすることができます

Question

このチュートリアルでは、ASP.NETコアとその他の関連技術に精通しています。 https://www.codeproject.com/articles/997216/restful-day-sharp-resolve-dependency-of-dependenci

のWebApiプロジェクトを参照することは、セキュリティ上の理由ではあまり適していないと述べました。だから私は彼と私の驚きに私はServicesで間接的にそれを参照することによって私のWebApiプロジェクトでDataModelのクラスにアクセスすることができます。

以下のスクリーンショットは、プロジェクトの関係をより明確にする（チュートリアルから）。以下の私のWebApiプロジェクトで

https://www.codeproject.com/KB/aspnet/990492/image028.jpg

そして、私の実際の参照。

私はまだ.NETに非常に新しいですし、それは予想される動作であるかどうかを知りたいのか、これはセキュリティ上のリスクにつながることができます。

Answer 1

この現象は予期しないものですか？

はい。これはtransitive dependencyとして知られています。あたかもプロジェクトがそれらのパッケージ自体に依存しているかのように、依存関係によって参照されるパッケージを参照することができます。これは予想される動作です。参照：Transitive references in .Net Core 1.1

これはセキュリティ上のリスクを招く可能性がありますか？

あなたのコードを安全に保つために、パッケージの依存関係ルールのようなものに頼るべきではありません。代わりに、コードがセキュリティを念頭に置いて記述されていることを確認してください。ユーザーの入力を常にサニタイズし、パラメータ化されたクエリを使用し、サーバー側で承認を実施するなどです。

推移依存性に依存する必要がありますか？彼らは警告なしあなたに消える可能性があるため、あなたのアプリケーション/ライブラリは、推移的依存関係に頼るべきではありません

（あなたの依存関係の1つがその依存関係を変更した場合）。代わりに、明示的に、あなたのコードが依存するパッケージを適切な依存関係にする。