合并至main分支时验证无内部预发布NuGet引用方案咨询

针对你提到的场景——防止内部预发布NuGet包被误合并到main分支，同时允许第三方预发布包，这里提供两种可靠的实现方案，适配复杂项目结构和不同的依赖管理方式：

方案一：通过MSBuild目标嵌入检查（推荐，适配复杂项目结构） #

利用MSBuild的内置任务直接解析项目最终的依赖（包括从Directory.Build.props等继承的配置），在构建阶段触发检查，一旦发现内部预发布包就终止构建。

步骤1：添加自定义MSBuild目标文件 #

在仓库根目录创建Directory.Build.targets文件，内容如下：

<Project>
  <!-- 配置：修改为你的内部包前缀 -->
  <PropertyGroup>
    <InternalPackagePrefix>YourCompany.</InternalPackagePrefix>
    <!-- 可选：允许例外的内部预发布包（逗号分隔） -->
    <AllowedPreReleasePackages>YourCompany.TestUtils,YourCompany.DebugTools</AllowedPreReleasePackages>
  </PropertyGroup>

  <Target Name="CheckInternalPreReleasePackages" BeforeTargets="Build">
    <!-- 获取所有已解析的包元数据（包括传递依赖） -->
    <GetPackageMetadata
      Packages="@(PackageReference)"
      TargetFramework="$(TargetFramework)"
      OutputPackageMetadataItems="ResolvedPackageMetadata"
    />

    <!-- 筛选出不符合要求的内部预发布包 -->
    <ItemGroup>
      <InvalidPackage Include="@(ResolvedPackageMetadata)"
                      Condition="$([System.String]::Copy('%(Id)').StartsWith('$(InternalPackagePrefix)')) 
                                And $([System.Version]::Parse('%(Version)').IsPrerelease)
                                And !$(AllowedPreReleasePackages.Contains('%(Id)'))" />
    </ItemGroup>

    <!-- 抛出错误并终止构建 -->
    <Error Condition="@(InvalidPackage) != ''"
           Text="禁止合并内部预发布NuGet包：@(InvalidPackage->'%(Id) (%(Version)')。请更新为正式版本或添加至例外列表。" />
  </Target>
</Project>

步骤2：在GitHub Actions中启用检查 #

修改你的GitHub Actions工作流文件（如.github/workflows/build.yml），添加或调整构建步骤：

jobs:
  build-and-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Setup .NET
        uses: actions/setup-dotnet@v4
        with:
          dotnet-version: '8.x'
      - name: Restore dependencies
        run: dotnet restore
      - name: Check for internal pre-release packages
        run: dotnet msbuild -t:CheckInternalPreReleasePackages
      - name: Build and test
        run: dotnet build --no-restore && dotnet test --no-build --verbosity normal

如果检查到违规包，dotnet msbuild会返回非零错误码，直接阻止PR合并。

方案二：通过脚本解析依赖（灵活易修改） #

使用dotnet list package命令导出所有依赖，再通过脚本过滤检查内部预发布包，适合需要自定义复杂逻辑的场景。

步骤1：编写检查脚本 #

创建PowerShell脚本CheckPreReleasePackages.ps1：

# 配置项
$internalPackagePrefix = "YourCompany."
$allowedPreReleasePackages = @("YourCompany.TestUtils", "YourCompany.DebugTools")
$preReleasePattern = '-(alpha|beta|rc|preview|dev)\d*$' # 匹配预发布版本标识

# 还原依赖确保获取最新包信息
dotnet restore | Out-Null

# 获取所有已安装包（包括传递依赖）并转为JSON
$packagesJson = dotnet list package --include-transitive --format json
$packages = $packagesJson | ConvertFrom-Json

# 筛选违规包
$invalidPackages = $packages.projects.packages | Where-Object {
    $_.id.StartsWith($internalPackagePrefix) -and
    $_.version -match $preReleasePattern -and
    $allowedPreReleasePackages -notcontains $_.id
}

# 输出结果并设置退出码
if ($invalidPackages) {
    Write-Error "发现内部预发布NuGet包引用，禁止合并："
    $invalidPackages | ForEach-Object { Write-Error "  $($_.id) ($($_.version))" }
    exit 1
} else {
    Write-Host "✅ 未发现违规的内部预发布NuGet包"
    exit 0
}

步骤2：在GitHub Actions中添加脚本步骤 #

jobs:
  check-pre-release:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Setup .NET
        uses: actions/setup-dotnet@v4
        with:
          dotnet-version: '8.x'
      - name: Run pre-release package check
        run: ./CheckPreReleasePackages.ps1
        shell: pwsh

关键适配点说明 #

1. 复杂项目结构支持：两种方案都会自动处理Directory.Build.props、共享属性等配置，获取最终解析的依赖版本，无需手动解析csproj文件。
2. 灵活的依赖管理适配：不管是通过统一属性管理版本还是直接添加PackageReference，都能准确获取实际使用的包版本。
3. 内部/第三方区分：通过包前缀区分内部包（最可靠的方式），如果需要结合源信息，可以在脚本中扩展解析dotnet list package的源字段，但前缀配置更简单易维护。
4. 例外包支持：两种方案都提供了例外列表配置，允许特定内部预发布包通过检查。

内容的提问来源于stack exchange，提问作者Arnon Axelrod