.NET Restore包源优先级、私有包配置及认证等技术问题

1. 公共注册表出现同名私有包后，dotnet restore会切换源吗？ #

默认情况下会，具体取决于你NuGet源的优先级顺序。dotnet restore会按配置的源顺序依次查找符合版本要求的包，找到第一个能提供匹配包的源就会拉取该源的包。
比如如果你的NuGet配置里nuget.org排在私有源前面，一旦公共注册表出现同名且版本符合依赖要求的包，dotnet restore就会优先从公共源拉取；如果私有源排在前面，会先查私有源，但如果公共源有更高版本满足依赖约束，也会转而拉取公共源的包。

2. 如何确保私有包仅从指定私有源拉取？ #

通过**NuGet源映射（Package Source Mapping）**可以实现精确控制，不管源顺序如何，指定的包只会从配置的对应源拉取。具体操作：

1. 在项目/仓库根目录创建NuGet.config文件
2. 配置所有需要的源，同时启用源映射，将私有包ID与私有源绑定，公共包与公共源绑定。

示例配置：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <packageSources>
    <!-- 公共源 -->
    <add key="nuget.org" value="https://api.nuget.org/v3/index.json" />
    <!-- 私有源 -->
    <add key="MyPrivateFeed" value="https://my-private-registry.com/v3/index.json" />
  </packageSources>

  <!-- 源映射配置 -->
  <packageSourceMapping>
    <!-- 私有包：将匹配的包ID绑定到私有源 -->
    <packageSource key="MyPrivateFeed">
      <package pattern="MyPrivatePackage.*" /> <!-- 支持通配符，匹配所有以MyPrivatePackage开头的包 -->
      <package pattern="AnotherPrivatePackage" /> <!-- 指定单个包ID -->
    </packageSource>
    <!-- 公共包：将其他所有包绑定到公共源 -->
    <packageSource key="nuget.org">
      <package pattern="*" />
    </packageSource>
  </packageSourceMapping>
</configuration>

该配置会强制MyPrivatePackage.*和AnotherPrivatePackage仅从MyPrivateFeed拉取，其余包从nuget.org拉取，完全不受源顺序影响。

3. 本地还原与Dependabot还原的行为是否一致？ #

只要仓库中包含了上述NuGet.config，Dependabot在执行依赖更新时会自动读取该配置，行为和本地dotnet restore完全一致。唯一需要注意的是私有源的认证配置，需要分别适配本地和Dependabot的环境。

4. 私有注册表的令牌认证处理 #

本地开发环境 #

• 推荐用命令行添加带认证的源，避免将令牌明文写入仓库的NuGet.config：

  dotnet nuget add source https://my-private-registry.com/v3/index.json --name MyPrivateFeed --username any-value --password YOUR_PRIVATE_TOKEN
  

  这个命令会将认证信息存储在用户目录下的NuGet.Config（比如C:\Users\<用户名>\AppData\Roaming\NuGet\NuGet.Config或~/.nuget/NuGet/NuGet.Config），不会提交到代码仓库。
• 如果需要在团队内共享配置，可以在仓库的NuGet.config中配置环境变量引用，避免硬编码令牌：

  <packageSourceCredentials>
    <MyPrivateFeed>
      <add key="Username" value="any-value" />
      <add key="ClearTextPassword" value="%PRIVATE_FEED_TOKEN%" />
    </MyPrivateFeed>
  </packageSourceCredentials>
  

  然后在本地环境中设置PRIVATE_FEED_TOKEN环境变量为你的令牌。

Dependabot环境 #

1. 在GitHub仓库的「Settings」→「Secrets and variables」→「Actions」中添加一个Secret，比如命名为PRIVATE_FEED_TOKEN，值为私有源的令牌。
2. 在仓库的.github/dependabot.yml中配置认证信息：

   version: 2
   updates:
     - package-ecosystem: "nuget"
       directory: "/"
       schedule:
         interval: "weekly"
       # 私有源认证配置
       credentials:
         - type: "npm_registry" # NuGet源使用此类型即可
           registry: "my-private-registry.com"
           username: "any-value" # 私有源若无需用户名，填任意值即可
           password: ${{ secrets.PRIVATE_FEED_TOKEN }}
   

   配置完成后，Dependabot拉取私有包时会自动使用该令牌认证。

内容的提问来源于stack exchange，提问作者Jurkstas