powershell - 在 NuGet 包安装/初始化期间运行的 Powershell 脚本有哪些安全限制？

Question

从 NuGet 安装包时，它可以运行一些 Powershell 脚本来进行设置(例如导出要在包管理器控制台中使用的命令)。

我正在尝试(但失败)找到这些脚本可以/不能做什么的详细信息。具体来说——我们应该担心这些恶意代码吗？他们可以读取文件系统、发送 Web 请求等吗？

Answer 1

当 NuGet 设置 PowerShell 主机时，它会检查当前的 ExecutionPolicy 是什么。如果它不是 Unrestricted、RemoteSigned 或 Bypass，它会强制当前进程 (devenv.exe) 的 ExecutionPolicy 为 RemoteSigned。

PowerShell 看不到从 Internet 下载的嵌入式脚本 init.ps1、install.ps1 等，因此没有什么可以阻止恶意脚本在您的计算机上执行您的帐户有权执行的任何操作。

在这一点上，所有 NuGet 包创建者几乎都在“荣誉”系统上。我相信 Ruby Gems 也有类似的情况。

NuGet 确实具有使用私有(private)包源的能力，因此如果安全性至关重要，我建议您下载并审查所有包，并且只允许从这些受信任的源安装包。