如何配置lib文件夹仅允许存放经合规流程引入的外部程序集？

这问题我之前在团队里也碰到过，分享几个能有效杜绝违规文件进入lib文件夹的方法，你可以根据团队的技术栈和流程选合适的组合：

1. 用版本控制钩子做本地拦截 #

如果你们用Git，可以给仓库配置pre-commit钩子，在代码提交前自动检查lib文件夹里的文件是否合规：

• 写个脚本（比如PowerShell、Python或者bash），遍历lib里的DLL文件：
  • 校验文件的数字签名：合规的外部程序集应该有官方或团队统一的签名，本地编译的文件通常没有或者用的是临时签名。比如用dotnet strongname verify "lib/xxx.dll"命令检查强名称签名。
  • 对比文件哈希值：提前把合规程序集的哈希值存在仓库里的lib-hashes.txt文件，脚本自动计算新文件的哈希，和清单对比不匹配就阻止提交。
• 把脚本放到仓库的.git/hooks/pre-commit路径，设置为可执行权限（Linux/macOS用chmod +x pre-commit，Windows可以直接设置权限）。

2. 在CI/CD流程里加强制校验 #

本地钩子可能被绕过，所以必须在CI构建环节再加一道关卡：

• 在CI的第一步就加入lib文件夹校验步骤：
  • 拉取程序集仓库里的合规程序集清单（包含名称、版本、哈希）
  • 扫描当前代码里的lib文件夹，逐一对比每个文件的信息，只要有不符合的就直接失败构建，不让代码合并到主干。
• 举个简单的PowerShell脚本示例：

$allowedHashes = Get-Content "lib-hashes.txt" | ConvertFrom-Json
Get-ChildItem "lib/*.dll" | ForEach-Object {
    $fileHash = (Get-FileHash $_.FullName -Algorithm SHA256).Hash
    if (-not $allowedHashes.$($_.Name).Contains($fileHash)) {
        Write-Error "违规文件：$($_.Name)，哈希值不在合规清单中"
        exit 1
    }
}

3. 权限管控从根源限制修改 #

如果是集中式版本控制系统（比如SVN），可以给lib文件夹设置单独的权限：

• 只让负责维护程序集仓库的核心成员拥有写入权限，其他开发只有读取权限。这样其他人没法直接提交文件到lib，必须走流程让维护人员导入合规的程序集。
• 如果用Git，可以设置分支保护规则：比如主干分支的lib/路径下的修改必须经过特定人员的审核，或者只有指定用户能提交修改到这个路径。

4. 改用包管理工具替代手动复制DLL #

其实最彻底的方法是把合规的程序集打包成内部包（比如NuGet包），让开发通过包管理工具（NuGet、npm等）来引用依赖，而不是手动复制DLL到lib：

• 搭建内部包源，把所有合规的外部程序集上传到包源里。
• 开发只能通过dotnet add package或者包管理界面来添加依赖，工具会自动把包下载到本地的packages文件夹，完全避免手动操作lib文件夹的情况。
• 这种方式还能自动管理版本依赖，比手动复制DLL更规范。

内容的提问来源于stack exchange，提问作者The Evil Greebo