#nuget

How to Publish a NuGet Package to NuGet.org

Hướng dẫn chi tiết cách publish package .NET lên NuGet.org, bao gồm tạo tài khoản, sinh API key có quyền hạn, cấu hình nuget.config cho môi trường đơn/đa feed, sử dụng lệnh dotnet nuget push với các flag quan trọng như --skip-duplicate, quy trình xác thực sau khi đẩy, cách unlist hoặc xóa package, và bảo vệ namespace bằng prefix reservation.

Lập trình viên cần đọc bài này để học cách chia sẻ và quản lý các gói NuGet của riêng mình trên NuGet.org, giúp mở rộng khả năng tái sử dụng code và tăng hiệu quả phát triển trong cộng đồng .NET.

Best Libraries for ASP.NET Core in 2026 (Opinionated)

Năm 2026, ASP.NET Core trên .NET 10 đã tích hợp sẵn nhiều tính năng (JSON, OpenAPI, resilience, rate limiting, health checks), giảm nhu cầu dùng thư viện bên thứ ba. Các lựa chọn nổi bật gồm Serilog (logging), EF Core + Dapper (truy cập dữ liệu), FluentValidation (validation), Mapperly (ánh xạ đối tượng), Hangfire (job nền), Wolverine/Rebus (message); ba thư viện từng phổ biến (AutoMapper, MediatR, MassTransit) đã chuyển sang mô hình thương mại nên cần thay thế bằng phiên bản miễn phí. Khuyến nghị sử dụng bộ thư viện tối giản, chỉ cài những gì framework không hỗ trợ sẵn và kiểm tra kỹ giấy phép trước khi triển khai.

Lập trình viên nên đọc bài này để cập nhật về xu hướng tối ưu hóa stack công nghệ ASP.NET Core cho .NET 10 năm 2026, tránh phụ thuộc vào các thư viện thương mại hóa và tiết kiệm thời gian với các giải pháp miễn phí hiệu quả.

Cyber Resilience Act for .NET Library Authors: Read the Fine Print — Daily DevOps & .NET

Đạo luật Cyber Resilience Act (CRA) sẽ có hiệu lực từ năm 2027, nhưng các tác giả thư viện .NET cần chuẩn bị sớm hơn cho chuỗi cung ứng NuGet. Các nghĩa vụ theo CRA sẽ được áp dụng để đánh giá mọi tác giả thư viện .NET.

Những nhà phát triển .NET phải hiểu ngay bây giờ về Cyber Resilience Act (CRA) để tránh rủi ro về tuân thủ và bảo mật trong các bản cập nhật NuGet sớm nhất, đặc biệt khi quy định bắt buộc bắt đầu từ năm 2027.

Strengthening NuGet Supply Chain Security: Reducing API Key Lifetime

NuGet.org is reducing API key maximum lifetime to 30 days starting August 17, 2026, with all keys created before that date expiring on November 1, 2026. The change is motivated by supply chain attacks where long-lived credentials were stolen and used to publish malicious packages. The recommended alternative is NuGet Trusted Publishing, which uses OIDC to issue short-lived, automatically expiring credentials without requiring stored secrets in CI/CD systems. For those who must continue using API keys, best practices include narrowing package scope, never committing keys to source control, and planning rotation workflows.

Before You Start a .NET Web API, Add These 3 Files

Trước khi bắt đầu xây dựng .NET Web API, hãy thiết lập 3 file quan trọng: thống nhất code style, quản lý phiên bản package tập trung, và hướng dẫn rõ ràng cho AI.

Lập trình viên nên đọc bài này để tránh rắc rối về phong cách mã, xung đột phiên bản và sai sót logic khi bắt đầu phát triển API .NET mà không có cơ sở rõ ràng từ đầu.

Incremental Source Generators Done Right: Ship It Without Breaking Consumers — Daily DevOps & .NET

Máy tạo mã incremental hoạt động tốt trên máy bạn nhưng gặp lỗi ở dự án tiêu thụ do cấu hình package không đúng. Phần 4 đề cập đến layout và các vấn đề triển khai.

Lập trình viên nên đọc bài này để tránh gặp phải vấn đề sự cố tích hợp không mong đợi khi sử dụng các Source Generators trong dự án, từ đó tiết kiệm thời gian debug và bảo đảm chất lượng sản phẩm ngay từ giai đoạn phát triển.

The Perfect Heist: NuGet Typosquat Targets Betting Platform to Rig Results

JFrog Security Research reveals a targeted NuGet typosquatting attack on a betting platform using a trojanized Newtonsoft.Json fork to rig live game results.

Backward Compatibility as an Act of Compassion

Somewhere right now, a developer is opening a .csproj file that targets net48. Not because they love it. Because the app inside it quietly runs a hospital's billing system, or a manufacturing plant's inventory, or a client's business that has survived three recessions on this exact codebase. Nobody on that team is asking, "Should we rewrite this in .NET 9?" They're asking, "Will this still compile next year?" And the answer, almost certainly, is yes.

11 Malicious NuGet Tools Pose as Game Cheats to Drop a Windo...

11 công cụ NuGet độc hại giả dạng cheat game để triển khai payload trên Windows, theo dõi máy chủ, đồng thời sử dụng Google Sheets để thu thập dữ liệu và điều khiển từ xa.

Lập trình viên nên đọc bài này để hiểu cách các công cụ giả mạo như game cheat trên NuGet có thể được sử dụng để lây nhiễm malware, theo dõi hoạt động của ứng dụng và chuyển đổi dữ liệu nhạy cảm thông qua các công cụ như Google Sheets, cảnh báo về rủi ro an ninh khi tích hợp các gói mở rộng không đáng tin cậy trong dự án.

How to Test and Debug a NuGet Package Locally Before Publishing

A complete workflow for testing and debugging NuGet packages locally before publishing to NuGet.org. Covers setting up a local NuGet feed via nuget.config, packing with dotnet pack --output, creating a test consumer project, pinning exact versions, clearing the NuGet global packages cache to avoid stale-version issues, and inspecting .nupkg contents with NuGet Package Explorer. Also addresses multi-targeted packages and final pre-publish checks including metadata, README, and symbol packages.

Automating NuGet Package Publishing with GitHub Actions

A complete guide to automating NuGet package publishing using GitHub Actions. Covers setting up a two-job CI/CD pipeline that triggers on git tags, extracts the version from the tag, builds and tests the project, packs the .nupkg, and pushes it to NuGet.org. Includes full YAML, GitHub secret setup for the API key, .csproj configuration for CI-friendly version injection, the --skip-duplicate flag, GitHub Environments for manual approval gates, and troubleshooting common errors like 401, 403, and 409 responses.

Fake Braintree NuGet Package Skims Credit Cards and Harvests...

A malicious NuGet package named Braintree.Net was discovered typosquatting the official Braintree .NET SDK. It implements a multi-stage implant that intercepts live payment card data (PAN/CVV), exfiltrates Braintree merchant API keys (merchantId, publicKey, privateKey), and harvests host environment secrets including cloud IAM credentials, database connection strings, and Kubernetes tokens. The package mimics the legitimate SDK's public API so applications function normally while silently exfiltrating data. A companion package, DependencyInjector.Core, provides a broader environment harvester with XOR-obfuscated C2 endpoints. The attacker inflated download counts with 120 empty placeholder versions. Affected developers should immediately remove the package, rotate all Braintree credentials, treat card data as compromised, and audit for companion packages.

The Complete Guide to Creating NuGet Packages in .NET

A comprehensive guide to creating, versioning, and publishing NuGet packages in .NET. Covers SDK-style .csproj metadata configuration, the dotnet pack command, SemVer versioning, publishing to nuget.org, private feeds via Azure Artifacts and GitHub Packages, multi-targeting for multiple .NET versions, automating releases with GitHub Actions, local testing before publishing, and enabling SourceLink with symbol packages for debuggability. Includes an FAQ addressing common questions like PackageId vs AssemblyName, handling breaking changes, and transitive dependency behavior.

Bitbucket Packages adds PyPI and NuGet support

Bitbucket Packages bổ sung hỗ trợ PyPI (Python) và NuGet (.NET), tích hợp quản lý package vào Bitbucket cùng các registry sẵn có (container, Maven, npm). Tất cả năm registry chia sẻ chung mô hình quyền, thanh toán và dung lượng, nhưng PyPI/NuGet chỉ khả dụng trên gói Standard/Premium trả phí.

Lập trình viên phát triển ứng dụng Python hoặc .NET sẽ tìm hiểu Bitbucket Packages để tiết kiệm thời gian quản lý và chia sẻ gói phụ thuộc một cách hiệu quả hơn, tránh việc phụ thuộc vào các nền tảng bên ngoài như PyPI hoặc NuGet độc lập.