如何上传未列入Google Cloud Assured OSS的Python包？该服务是否仅支持下载？

目前Google Cloud Assured Open Source Software（以下简称GOS OSS）确实仅支持下载官方预验证的开源包，不支持用户上传未在官方支持列表中的自定义Python包。

从官方文档的设计逻辑来看，GOS OSS的核心定位是提供经过Google安全团队验证、修复了已知漏洞的开源软件制品，所有托管的包都是官方筛选并完成安全校验后的版本，服务本身没有开放用户上传自定义包的功能入口，文档中也完全没有提及相关的上传流程，这进一步印证了这一点。

如果你希望对自定义Python包实现类似的漏洞扫描等安全能力，可以考虑结合Google Cloud的其他服务：

• 使用Container Analysis扫描包含自定义包的容器镜像，检测其中的依赖漏洞
• 将自定义包托管到Artifact Registry，并启用其内置的漏洞扫描功能，该服务支持对Python包的安全检测
• 通过Google Cloud Security Command Center统一管理各类安全检测结果，实现集中化的安全管控

内容的提问来源于stack exchange，提问作者Bihag Kashikar