¿Cuál es la mejor práctica al especificar PackageReference al publicar paquetes de Nuget?
Según https://docs.microsoft.com/en-us/nuget/consume-packages/package-references-in-project-files , especificar el número de versión equivale a >= esa versión.
Por ejemplo, lo siguiente haría referencia a la versión 11.0.1 o posterior de Newtonsoft.Json y 106.9.0 o posterior de RestSharp.
<ItemGroup> <PackageReference Include="Newtonsoft.Json" Version="11.0.1" /> <PackageReference Include="RestSharp" Version="106.9.0" /> </ItemGroup>Si otro desarrollador quiere usar mi paquete Nuget en su proyecto, ese mismo desarrollador también puede necesitar esos mismos paquetes dentro de su proyecto y es posible que no pueda ni quiera trabajar con las mismas versiones que he estado usando. Como tal, ¿cuál es la mejor práctica? ¿Debo especificar siempre la versión compatible más baja cuando publico o simplemente actualizo mis paquetes como mejor me parezca para mi proyecto y no me preocupo por los números de versión que se publican?
Hablando desde el punto de vista del consumidor, diría que sí, debe especificar la versión compatible más baja. De esa manera, como menciona, no está obligando a los consumidores de su paquete a tener que actualizar, por ejemplo, su dependencia Newtonsoft.Json si tienen una dependencia directa a la versión 11.0.0 de ese paquete. Si por alguna razón no permite que se use la versión 11.0.0 , entonces, por supuesto, debe especificar 11.0.1 .
Si, por ejemplo, sabe que la versión Newtonsoft.Json de 11.0.1 tiene una vulnerabilidad de seguridad crítica, es posible que desee aplicar una nueva versión si se ha parcheado. Pero, en general, creo que, como proveedor de paquetes, estaría interesado en hacer que su paquete sea lo más compatible posible por el bien de los consumidores. Aunque eso no significa que no deba mantener el paquete actualizado con sus dependencias.
Siempre hay una compensación. La versión de referencia de su paquete de biblioteca podría quedar obsoleta por cosas fuera de su control. Por ejemplo, si no tiene ninguna característica nueva para lanzar para su biblioteca pero una de las bibliotecas dependientes se actualizó, es posible que no desee actualizar su Nuget. Dicho esto, si hay algunas actualizaciones de seguridad críticas que necesitaría para actualizar su biblioteca.
Ligeramente, sin relación, pero una de las recomendaciones antiguas de .NET Standard puede resultarle útil para tomar una decisión.
Al elegir una versión de .NET Standard como destino, tenga en cuenta esta compensación:
- Cuanto mayor sea la versión, más API estarán disponibles para el código de su biblioteca.
- Cuanto menor sea la versión, más aplicaciones y bibliotecas podrán usar su biblioteca.
Personalmente , cuando trabajo con paquetes de Nuget, trato de usar el último de los paquetes dependientes para asegurarme de que puedo obtener las funciones más recientes sin preocuparme por la vulnerabilidad de seguridad.