仅允许具有经过验证的包所有者的Nuget包

Question

由于担心软件包的安全性，我们的开发服务器目前无法访问nuget.org。是否可以将URL规则/过滤器应用于允许仅访问具有“经过验证的包所有者”的那些包的防火墙？

Answer 1

此时服务器无法做到这一点。 没有API可以让您查询包是否有经过验证的所有者。 此外，客户端将会遇到许多不同的端点，以至于它们都可以访问它们。 你需要将几乎所有的软件包列入白名单。

虽然客户正在做一些工作来覆盖你的场景。

与包签名一起，正在开发一个新的client policies。 这将允许您只接受来自某些包作者/提要的包。

短期内的另一种选择是使用公司所有人使用的镜像Feed。 该镜像Feed只包含一组列入白名单的包。