security - Nuget 上的“作者”字段可以被欺骗吗？我可以相信文件的真实性吗？

Question

我正在浏览作者的 Nuget 库并看到有问题的内容.. 与我之前看过的一些作品质量不同的东西。

我怎么知道 Nuget 包的作者真的是那个人？

我可以将这种信任扩展到 Nuget 的内置更新过程吗？

Answer 1

“作者”只是包含在 .nuspec 文件中的元数据。请参阅（http://docs.nuget.org/docs/reference/nuspec-reference）。这可能与包所有者/创建者不同。

在 NuGet 刚起步时，有一些人正在为他们没有编写的项目创建包，主要是为了在存储库中获取包。

现在 NuGet 更加成熟，建议人们联系项目所有者并让他们创建自己的 NuGet 包。

对于已经由作者以外的其他人上传到存储库的包，作者可以请求将所有权转移给他们。

由于无法保证包创建者是原作者，我不确定这会如何影响信任。但是，如果您安装了一个包，可以肯定地说更新将来自创建初始包的同一个人，或者可能已转移给项目的实际作者。

换句话说，信任可能相同或可能更好（如果是实际作者），但很少比您安装的原始包差。

希望有帮助。

Answer 2

我知道这是一个相当古老的问题，但这是我找到的最佳答案。我想把我的 $.02 加到收银台上。我在 nuget.org 上有几个基于另一个包的包。 Unity.Mvc3.VB，Unity.Mvc3.DLL，我正在开发 Unity.Mvc4.VB 包。它们都基于来自devtrends的Unity.Mvc3。DLL 项目基本上只是安装 Unity.Mvc3 的程序集引用，没有 c# 源代码文件，因此在其他语言的项目中使用起来更容易一些。VB 包包括 C# 源文件的 VB.Net 版本。由于除了 DLL 包中的 nuspec 文件我没有写任何东西，我只是列出了Paul Hiles作为作者和我作为包所有者。

对于 VB 包，我再次被列为所有者，但对于作者，我在括号中列出了 Paul 和我自己以及我们的每个贡献，如下所示：

我的想法是我要感谢我的衍生作品的原作者。

Answer 3

乞力曼的回答是正确而全面的。我想补充一点，开始在 NuGet 库中编写对 nuget 包的评论取决于社区。评论很少而且相差甚远，而且他们有一个星级系统，所以如果你认为一个包没有用，或者你对某个特定的包有顾虑，把它们写在那里并帮助你的程序员伙伴。