安装Rust crates是否安全？crates.io是否有恶意软件审核与质量管控？

• 上传权限与名称规则：crates.io并非完全无限制。上传者必须绑定GitHub账号注册后才能发布crate，不能匿名操作。名称采用先到先得，但如果涉及商标侵权、恶意抢注或违反社区准则的内容，官方会介入处理，不是随便什么名称都能用来上传。

• 代码质量管控机制：和Debian/Ubuntu的质量管控、Boost的严格评审流程不一样，crates.io没有强制的预上传审核环节，上传者可以自主发布代码。不过社区有一些补充保障：

  • 社区默认要求crate提供清晰的README、规范文档，遵循语义化版本号，优质crate会更受开发者认可
  • 官方提供cargo audit工具，能检测crate中的已知安全漏洞
  • 热门crate会得到社区自发的质量评估，不少大型项目也会维护自己的可信crate清单
  • 平台设有举报机制，一旦发现恶意代码、违规内容，用户可以提交投诉，官方会下架违规crate

• 安全页面的补充说明：crates.io的安全页面确实主要是强调安全对Rust的重要性，没有列出详细的安全管控细则。实际的安全保障更多依赖开发者使用cargo audit这类工具自查、社区的自主审核，以及官方的事后违规处置。

内容的提问来源于stack exchange，提问作者MWB