System.Linq.Dynamic.Core 1.6.0版本发布：增强安全性与解析能力

System.Linq.Dynamic.Core是一个强大的.NET库，它为LINQ查询提供了动态构建能力。通过这个库，开发者可以使用字符串形式的查询条件来构建LINQ表达式，这在需要动态生成查询条件的场景中特别有用，比如构建动态报表系统或实现高级搜索功能。

主要更新内容

1. 安全性增强

本次版本修复了一个重要的安全问题CVE-2024-51417，提升了库的防护能力。同时更新了安全测试用例，确保系统在各种边界条件下都能保持稳定和安全。

2. 解析配置改进

新版本对解析配置(ParsingConfig)进行了多项改进：

• 现在默认将RestrictOrderByToPropertyOrField设置为true，这意味着OrderBy操作默认只能用于属性或字段，提高了安全性
• 新增了AllowObjectEqualsAndToString选项，可以控制是否允许在动态表达式中使用对象的Equals和ToString方法
• 改进了解析配置在DynamicQueryableExtensions类中的使用方式，确保配置能正确传递到所有相关方法

3. 类型查找与关键字处理优化

对KeywordsHelper和TypeFinder进行了重构，使其更好地利用ParsingConfig中的IsCaseSensitive设置。这意味着现在可以更精确地控制类型和关键字的匹配方式，特别是在大小写敏感的场景下。

4. 静态成员访问修复

修复了在非静态类中调用静态属性或字段的问题，现在可以正确地处理这类场景，扩展了库的使用范围。

5. 内部接口更新

将内部使用的过时接口IDynamicLinkCustomTypeProvider统一更新为IDynamicLinqCustomTypeProvider，保持代码的现代性和一致性。

技术细节分析

解析配置的重要性

ParsingConfig在这个库中扮演着核心角色，它控制着表达式解析的各个方面。1.6.0版本对解析配置的处理进行了多项改进：

1. 新增的AllowObjectEqualsAndToString选项特别有用，因为它允许开发者精确控制哪些基础对象方法可以在动态表达式中使用。这在安全敏感的应用中尤为重要。

2. RestrictOrderByToPropertyOrField的默认值改为true是一个重要的安全改进。这意味着现在默认情况下，OrderBy只能用于实际的属性或字段，而不能用于任意表达式，这可以防止潜在的安全问题。

表达式解析的改进

表达式解析器(ExpressionParser)现在提供了新的构造函数，可以更灵活地初始化解析器。这使得在需要自定义解析行为的场景下，开发者有更多的控制权。

类型系统处理的优化

对TypeFinder和KeywordsHelper的改进使得类型查找和关键字处理更加可靠。特别是在处理大小写敏感的场景时，现在可以更准确地匹配类型和关键字。

升级建议

对于正在使用System.Linq.Dynamic.Core的项目，建议尽快升级到1.6.0版本，特别是考虑到它包含了重要的安全修复。升级时需要注意以下几点：

1. 由于RestrictOrderByToPropertyOrField的默认值变更，如果现有代码依赖于OrderBy可以用于任意表达式，需要显式地将此选项设置为false。

2. 如果项目中有自定义的类型提供程序实现，需要检查是否使用了过时的IDynamicLinkCustomTypeProvider接口，并考虑迁移到新的IDynamicLinqCustomTypeProvider接口。

3. 对于需要访问对象基础方法(Equals/ToString)的场景，需要显式启用AllowObjectEqualsAndToString选项。

这个版本的改进使得System.Linq.Dynamic.Core更加安全、稳定和灵活，是动态LINQ查询场景下的一个值得升级的版本。