库管理

JFrog存储库命名规则和限制

• 名字可以不是空的
• 名字可以不与Artifactory实例中的另一个存储库相同。
• 最大字符数:
  • 对于本地和虚拟存储库= 64
  • 对于远程和联邦存储库= 58
• 名字可以不包含以下字符:/，\＼，：，|，？，*，”，<，>
• 名字可以不包括以下内容:
  • 。
  • 。．
  • &
  • Jfrog-usage-logs
  • jfrog-billing-logs
  • jfrog-logs
  • artifactory-build-info
  • artifactory-pipe-info
  • Auto-trashcan
  • jfrog-support-bundle
  • _intransit
  • Artifactory-edge-uploads
  • release-bundles
• 名字可以不从下面开始:
  • jfrog-system-reserved
  • Jfrog-artifactory-system

欲了解更多信息，请参阅白皮书构建和命名人工存储库的最佳实践。

通用存储库

您可以将存储库定义为通用的在这种情况下，它没有特定的类型，您可以上传任何类型的包。通用存储库不维护单独的包索引。要使用与特定包类型(例如yum、gem)关联的客户端，您应该创建一个匹配的存储库。通用存储库不维护单独的包索引，因为它们不特定于任何包类型。当您想要代理不支持的包类型、存储安装程序、导航文件、音频文件等时，它们非常有用。

上传错误的包类型

虽然系统不会阻止您上传错误类型的包到存储库，但我们强烈建议您在存储库类型和您上传的包之间保持一致性。如果您确实将错误类型的包上传到存储库，Artifactory将不会为该包建立索引或更新存储库的元数据。

局部存储库

本地存储库是物理的、本地管理的存储库，您可以在其中部署构件。
本地存储库中的构件可以使用以下URL直接访问:

http:// <主机>:<端口> / artifactory / < local-repository-name > / < artifact-path >

有关配置本地存储库的详细信息，请参考到局部存储库页面。

远程存储库

一个远程存储库充当在远程URL(其本身可能是另一个Artifactory远程存储库)上管理的存储库的缓存代理。根据控制缓存和代理行为的各种配置参数，在远程存储库中存储和更新构件。
您可以从远程存储库缓存中删除工件，但是您不能实际地将新工件部署到远程存储库中。

远程存储库中的构件可以使用以下URL直接访问:

http:// <主机>:<端口> / artifactory / < remote-repository-name > / < artifact-path >

这个URL将从缓存中获取一个远程工件，如果它还没有被存储的话。

在某些情况下，直接访问已经存储在缓存中的工件是有用的(例如，为了避免远程更新检查)。

要直接访问已经存储在缓存中的工件，您可以使用以下URL:

http:// <主机>:<端口> / artifactory / < remote-repository-name >缓存/ < artifact-path >

有关配置远程存储库的详细信息，请参阅远程存储库页面。

虚拟存储库

虚拟存储库(或“存储库组”)在一个公共URL下聚合具有相同包类型的多个存储库。

默认虚拟存储库(已弃用)

Artifactory提供了一个使用全局虚拟的选项，其中包含所有本地和远程存储库。

默认情况下，此选项是禁用的，要启用默认虚拟存储库编辑artifactory.system.properties位于JFROG_HOME美元/ artifactory / var / etc / artifactory并将以下标志设置为假：

##禁用全局'repo'的下载权限artifactory.repo.global.disabled=false

此更改需要重新启动Artifactory服务。

启用后，存储库可在以下位置使用:

http:// <主机名>:<口> / artifactory /回购

虚拟分辨率命令

当从虚拟存储库请求工件时，搜索或解析存储库的顺序为1首先是本地存储库，然后是r远程存储库缓存，最后是r远程存储库本身。

在每个库中，查询存储库的顺序取决于它们在配置中列出的顺序，如中所述一般决议令在下面。

中的有效搜索和解析顺序包括存储库列表视图中的基本设置选项卡。这在嵌套虚拟存储库时特别有用。有关配置虚拟存储库的更多详细信息，请参阅虚拟存储库页面。

联合存储库

来自JFrog Artifactory 7.18.3， JFrog平台使您能够创建联邦存储库，允许将工件及其元数据与位于多站点环境中的远程JFrog部署(JPDs)上的其他联邦类型的存储库进行镜像。Federated存储库的功能类似于JPD上的本地存储库，但它与位于其他JPD上的其他Federated成员在逻辑上组合在一起，以创建Federation。有关更多信息，请参见联合存储库。

一般决议令

您可以设置搜索和解析每种类型的存储库(本地、远程和虚拟)的顺序，方法是在目录的相应部分中对它们进行相应排序配置存储库页面。要设置顺序，您需要将存储库添加到所选存储库的列表中，按照搜索它们以解析工件的顺序。

搜索存储库的顺序还受到其他因素的影响，例如安全特权、包含/排除模式以及处理快照和发布的策略。

常见的设置

其中一些设置对于本地、远程和虚拟存储库是常见的。这些都是在基本对应的选项卡新增/编辑屏幕。根据为存储库指定的包类型，可以在特定于类型的部分中找到其他设置。

包括模式:org/apache/**，com/acme/**排除模式:com/acme/exp-project/**

使用Exclude模式避免安全风险

介绍如何使用“排除模式”避免以下安全风险。

使用排除模式防止内部伪影的暴露

您部署的任何专有构件都存储在本地存储库中，以便它们可用于安全且经过授权的内部使用。任何通过名称搜索您的内部构件的人都将通过Artifactory从本地存储库中提取它。

但是，考虑一下如果无意中定向了对内部构件的请求会发生什么外组织的。

这可能发生的两个例子是:

• 请求的工件名称中有一个简单的错别字
• 开发人员请求的快照版本号不存在。

在这种情况下，由于系统没有在本地存储库中找到所请求的工件，因此它继续搜索系统中定义的远程存储库。搜索所有在返回"Not found"之前，检查系统中定义的远程存储库。

这带来了安全风险，因为在远程存储库上发出的任何请求都可能被记录下来公开查询的所有细节，包括可能包含敏感业务信息的完整工件名称。

使用排除模式防止内部封装暴露

代理不受信任的存储库或已被破坏的公共远程存储库可能会使您暴露于恶意工件。有时，这些存储库允许任何人部署自定义包。例如，对于npm，公共存储库是npmjs，任何人都可以部署他/她拥有的任何包的任何版本。如果一个包没有所有者(之前没有人部署过它的某个版本)，任何人都可以部署它并声明它。

例如，假设您有一个名为“almo-common-utils”它的源代码是可公开访问的，例如，如果它被捆绑为可公开访问的产品或web应用程序的一部分，它是用Node和JFrog Artifactory编写的，它有一组远程(代理公共存储库)、本地(用于内部共享模块)和hth华体会最新官方网站虚拟存储库。

考虑以下几点:

• 在公共存储库中，任何人都可以发布一个未限定作用域的库，并将其命名为他们想要的任何名称，例如:almo-common-utils”(除非存在名称冲突)。
• 没有名为“almo-common-utils”在公共存储库中(因为它是一个内部公司库)，所以没有名称冲突。
• 你有项目声明a依赖在“almo-common-utils“使用版本范围。例如，指定与主版本兼容的最新版本的范围。

这带来了安全风险，因为攻击者可以通过事先了解库来尝试攻击未受保护的组织。”almo-common-utils \”使用的库的主要版本(假设他们知道在组织中广泛使用版本3)，以及源代码的内容。

攻击者可以克隆和修改源代码，将任何恶意软件嵌入其中，但仍然保持与原始代码的兼容性，并将其上传到存储库。almo-common-utils: 3.99.99”。这将创建一个内部库的版本更新劫持，当“almo-common-utils: ^ 3.0.0“是要求的，假的”almo-common-utils从存储库中获取。

为了避免暴露内部包和内部包版本劫持，我们强烈建议如下：

• 在远程存储库上使用排除模式。在远程存储库中排除不希望在组织外部搜索的包。您可以通过前缀(.npm / almo * / * *)，按范围(.npm / @almo / *)或姓名(.npm / almo-encoder / * *）.通过在任何公共远程存储库上设置这些排除模式，您可以有效地避免从公共存储库合并那些包。
• 只创建和发布有作用域的包。在公共存储库中为您的公司注册一个正式组织，以拥有您的组织的范围，并且始终只发布有范围的包。这也简化了排除模式，因为您只需要排除有作用域的包排除在远程存储库中搜索的所有包。
  
  下面是一个使用范围"almo”从远程存储库。
  

使用包含模式避免性能问题

包含模式通过确保只有特定类型的工件可以驻留在本地存储库中，帮助您避免在本地存储库中出现混乱。在典型的场景中，系统将引用大型的通用存储库，例如JCenter或者Maven Central来解析工件。

此外，Artifactory可以引用任意数量的附加存储库，这些存储库可能承载更专门化和特定的工件集。

如果Artifactory接收到一组确定的工件的请求(例如，工件的特定版本)，那么它将根据其解析顺序搜索不同的存储库，直到找到工件。

然而，如果Artifactory接收到一组不确定的工件的请求(例如，所有版本的maven-metadata.xml)那么它必须搜索所有它引用的存储库，直到它能够提供完整的响应。

在大多数情况下，组织下载的大部分工件将来自一个大型的通用存储库，但是在不确定的请求中性能会降低，因为Artifactory会继续搜索所有专门的存储库才能返回响应。

设置安全远程和本地存储库的优先级

您可以通过启用本地和远程存储库的“Priority Resolution”字段来声明本地和远程存储库是“安全的”。在解析虚拟存储库时，设置优先级解析优先于解析顺序。将存储库设置为优先级将导致元数据仅从使用此字段设置的存储库合并。如果在这些存储库中没有找到包，Artifactory将合并未设置Priority Resolution字段的存储库中的元数据。

本地和远程存储库

除了上述设置之外，本地和远程存储库还在特定于类型的部分中为相关包类型共享以下设置。