.net core和.net framework之间的漏洞差异

我不明白为什么在旧的.net框架中，针对漏洞的建议是只更新windows而不更新nuget包。 但是对于.net内核，建议更新nuget包。 I search是一篇解释.net core和.net framwork之间修复漏洞差异的文章

样本：

（只更新Windows，为什么不也更新nuget？）

---

（更新.net core的nuget，更新.net framework的OS）

整个.net framework的核心没有nuget软件包。这是操作系统中的一块框架。您可以编写一个功能齐全的程序，而无需单个软件包。因此，如果存在漏洞，则必须更新操作系统附带的此块

---

.NETCore的核心是一个庞大的NuGet包集合。它不是作为一个巨大的模块来安装的。因此，您只能更新几个包。操作系统中没有任何东西可以更新。

您会为.NET Framework更新哪个NuGet软件包？当我打开packages.config时，我看到很多system.*软件包，但是对于.net Framework来说，像.net core？这样的包版本上从来没有漏洞。如果您有一个完整的Framework应用程序，并且您有很多系统。*通过NuGet的包，那么您（或编写您使用的NuGet包的人）正在做一些错误的事情。可用于完整框架，例如webjob应用程序。该软件包是“如果使用此软件和.NET完整框架，则说明您做错了”。所有这些都已经在完整的框架中可用。再次将其添加到您的项目中很有可能出错。为什么Microsoft不就Nuget上的漏洞进行沟通，以使其可与完整的.NET Framework一起使用？并且该漏洞不会随操作系统更新而更新…您有示例吗？作为一般性的回答，我会说“因为Microsoft假定您只获取您需要的内容，如果您获取更多内容（即使用带有完整.NET Framework的.NET标准包，尽管这些类已经存在于该框架中）这是你自己的责任。但我愿意看一个具体的例子。那会是哪个dll？你是否为.NET项目构建了安装程序？其中有属于.NET Framework的dll吗？同样，.NET Framework是客户端操作系统的完整安装程序。它不要求你在应用程序中部署dll这些都是.NET Framework的一部分。此答案仅涵盖一般场景。但是，假设ASP.NET MVC（ASP，NET 4.x）如果存在安全问题，则Windows更新和NuGet软件包更新都会出现。@ArDumez这实际上取决于修补程序进入的程序集以及这些程序集如何到达最终部署计算机。如果这些程序集位于.NET安装文件夹/GAC中，则Microsoft会提供Windows更新。如果它们是通过Microsoft NuGet软件包提供的（例如ASP.NET MVC或ASP.NET Core），Microsoft提供NuGet软件包更新。