安装 Rust 板条箱安全吗？ “crates.io”是否经过策划或审查是否有恶意软件？

Question

对于 Debian 和 Ubuntu，有一些质量控制。使用

Boost

（C++ 的主要存储库），可以实现显着的 质量控制。 Rust

crates(.io)

是相似的还是完全免费的？任何人都可以以任何名称上传任何代码吗？

crates.io

的“安全”链接会将您发送到

rust-lang.org/policies/security

，它只是讨论安全性对于 Rust 来说是多么重要。

Answer 1

Crates.io 在发布包之前不会对其进行审查。

这并不罕见。大多数包存储库，包括 NPM、PyPi（pip 背后的存储库）和 Ruby gems 在发布之前不会进行任何审核。免费做的工作量太大，而且会大大减慢发布速度。这样做的缺点是众所周知的，并且有很多文章描述它们以及有问题的行为的实例（例如左垫）。

Boost 的独特之处在于它实际上在包含之前对库进行了管理。这提升了信任并有助于确保良好的实践，但会减少存储库的广度 - 例如，您不会在 Boost 中找到 QUIC 客户端。

Answer 2

也许cargo.io 政策页面可以为您提供您正在寻找的答案：

移除

许多问题都是更一般形式的特殊实例：“在什么情况下可以从 Crates.io 中删除包？”

简单来说，包裹是先到先得的，我们不会试图监管合法包裹的确切构成。我们将按照法律要求行事，并解决公然违反 Rust 行为准则的行为。