ConanCenter托管包长期支持及私有仓库规避关停风险相关咨询

问题1：Conan Center是否为其托管的软件包提供长期支持？ #

Conan Center由JFrog官方运营，现有运营规则下，对合规、无严重安全漏洞、对应上游项目仍在正常维护的稳定版本软件包，提供长期留存支持。但有两点需要注意：

• 不承诺所有版本永久留存：已停止维护多年的废弃项目版本、存在高危安全漏洞且无官方修复的版本、存在版权合规风险的版本，会被定期清理出仓库
• 目前官方未公布Conan Center的关停时间表，短期不存在类似Bintray的关停风险，但长期仍不建议直接绑定公共仓库作为生产构建的唯一依赖源

问题2：依赖库分发的实践方案 #

我们团队不会直接依赖公共Conan仓库做生产环境的依赖分发，所有生产环境用到的第三方依赖库、内部自研库，都会统一上传到自托管的私有Conan仓库，核心原因如下：

• 完全规避公共仓库关停、包被删除/修改导致的构建失败风险
• 可对所有依赖做统一的合规审计、安全漏洞扫描，避免引入风险依赖
• 内网私有仓库的拉取速度远高于公共仓库，且不受外网网络波动影响
• 可安全托管内部自研的私有库，无需对外暴露内部研发相关信息

如果你需要批量迁移公共仓库的包到私有仓库，可以使用Conan自带命令完成：
conan download <包标识> -r conancenter 下载公共仓库的包到本地，之后执行 conan upload <包标识> -r <私有仓库别名> --all 即可上传到自有私有仓库。

内容的提问来源于stack exchange，提问作者Blueberry