c# - 如果有人提交了一个 'malware' 的 nuget 包怎么办？

Question

我检查了 Nuget submission process , 并且没有找到任何关于基本检查或审查过程的信息。

那么如果有人提交了一个电子邮件模板帮助程序包，但它实际上进行了电子邮件嗅探怎么办？

如果我在这里遗漏了什么，请纠正我。

Answer 1

没有中央审核流程 - 你是对的。当您从任何来源获取已编译的二进制文件时，您应该谨慎行事。有人可以在任何公共(public)网站(sourceforge、cnet 等)上放置恶意代码。

安全是为了最大限度地降低风险，而不是消除风险。如果您的数据/信息至关重要，您应该自己审查软件(或让有知识的人来做)。您不仅可以下载恶意代码，还可以为您的软件引入软件包编写者无意的漏洞。这里的负担在最终用户身上。此外，仅仅因为软件经过“审查”并不意味着它是安全的。 Here is an article关于一个提交到 AppStore 并获得批准的恶意软件。这不是一个孤立的事件。

如果这是针对您的具有非 secret 数据的个人/小型项目，如果您坚持使用相对广泛使用且有很多评论的软件包，我不会太担心。社区可以帮助警察处理此类事情，因为每个扩展上都有一个“向 Microsoft 报告扩展”链接。