如何配置NuGet包源以仅允许拉取特定根作者发布的NuGet包

可行性确认 #

可以实现该需求，NuGet提供了可信签名验证、包源映射两种原生配置能力，完全满足企业软件供应链可信管控的要求。

针对仅允许拉取微软官方包的具体实现方案 #

方案1：可信签名校验（首选，可靠性最高） #

微软官方发布的所有NuGet包均带有官方专属代码签名证书，通过配置签名校验规则，可以直接从身份层面拦截非官方发布的包：

• 微软官方NuGet包签名证书的SHA256指纹为3F9001EA83C560D712C24CF213CCDB38F2FF440F
• 在解决方案根目录新增/编辑nuget.config文件，添加如下配置即可生效：

<configuration>
  <config>
    <!-- 强制所有包必须通过签名校验才能安装 -->
    <add key="signatureValidationMode" value="require" />
  </config>
  <trustedSigners>
    <!-- 仅信任微软官方签名证书 -->
    <author name="Microsoft">
      <certificate fingerprint="3F9001EA83C560D712C24CF213CCDB38F2FF440F" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
    </author>
  </trustedSigners>
</configuration>

• 如需全局生效，可将上述配置写入系统级nuget.config文件，覆盖本地所有项目的NuGet配置。

方案2：包源映射规则（辅助补充，缩小允许范围） #

搭配包ID前缀匹配规则，可以进一步限制仅拉取符合微软官方包命名规范的包，避免仿冒包绕过校验：

• 在nuget.config中追加如下配置节点：

<packageSourceMapping>
  <packageSource key="nuget.org">
    <package pattern="Microsoft.*" />
    <package pattern="System.*" />
    <package pattern="NETStandard.Library" />
    <!-- 可自行补充其他确认属于微软官方的包ID匹配规则 -->
  </packageSource>
</packageSourceMapping>

注意事项 #

• 推荐两种方案搭配使用：签名校验确保作者身份真实，包前缀映射进一步缩小允许范围，管控精度更高
• 企业环境可通过组策略将全局nuget.config批量下发到所有开发终端，无需逐个项目配置，实现统一管控

内容的提问来源于stack exchange，提问作者BaltoStar