如何知道 Nuget 包是否已签名

Question

Nuget.org 现在能够允许 Nuget 包的作者对他们的包进行签名，以便包的用户可以验证包没有被篡改，并且它内置了对制作包的作者的某种身份验证。这是宣布这一点的博客。

听起来任何新东西都需要对包进行签名，但不会对过去的包进行签名。这样对吗？我怎么知道一个包裹已经被签名？

我使用的是高于 15.8.5 和 Nuget Package Manager 4.6.0 的 Visual Studio 2017

Answer 1

不，不要求包必须经过作者签名才能上传到 nuget.org。还有一些关于签名包的文档，包括参考页面和签名包。

NuGet.org 还将签署包。大多数流行的包在我写这篇文章的时候已经被存储库签名，所有其他包最终都将被回购签名。是的，作者签名和 repo 签名之间是有区别的，所以有些包会有两个签名。

要检查包装是否已签名，您可以按照这些说明进行操作。或者在 NuGet 包资源管理器中打开包，尽管您需要知道要查找的内容，因为我不确定是否有任何明确表示未签名的内容。或者您可以使用任何知道 zips 的程序打开 nupkg（或者如果它是您已经恢复的包，请转到全局包文件夹中的文件夹%USERPROFILE%\.nuget\packages并查找名为 .zip 的文件）.signature.p7s。