c# - 在将包添加到内部提要/存储库之前扫描包

我有一个用例，其中与我合作的组织阻止了所有包下载，例如。Nuget 出于安全考虑。尽管考虑到特定的上下文，这些担忧是可以理解的并且完全有效，但我的团队仍然需要能够使用特定的包及其依赖项。

我最初的想法是尝试设置一个暂存环境，该环境可以下载包、扫描它们以查找漏洞和恶意软件，然后再将它们上传到内部 Azure Artifacts 源（如果它们通过了扫描）。上传后，任何有权访问提要的开发人员都可以使用该软件包。如果发现任何包的更新，更新将通过相同的扫描过程并上传到内部提要。

最大的问题是我们如何实现这一点。我们可以自己设置一个相当手动的流程；通过适当的包客户端下载包，扫描它们并在扫描完成后手动发布它们。但是，我们希望有一个更简化的流程。

我们想要的是能够从上游存储库中简单地选择一个包；然后下载并扫描包（连同任何依赖项），然后由存储库管理员将其添加到内部提要或存储库。更新应该由存储库本身检测，并在更新可用时通知我们。

有谁知道任何现成的解决方案可以做到这一点，或者类似的东西？不一定要用Azure Artifacts，但需要支持nuget；任何额外的包装系统都是一种奖励。在构建时扫描是不够的，我们需要在将包发布到内部仓库之前进行扫描。

标签： c#npmpipnugetpackage-managers