Podpisywanie zestawów używanych w zaufanym środowisku brzmi dla mnie jak przesada.
Ciekawostką dotyczącą podpisanych zestawów jest to, że ładują się one nieco wolniej niż zestawy niepodpisane, ponieważ muszą zostać zweryfikowane kryptograficznie.
Aby podpisać zgromadzenie, wszystkie zespoły, od których zależy, muszą być również podpisane. Domyślam się, że przyczynia się to do chęci twojego kolegi do podpisania wszystkiego - kompilator tego żąda.
EDYCJA Od napisania tej odpowiedzi widać, że zarówno obóz za, jak i przeciw ma z grubsza równoważne wsparcie. Oczywiście nie ma tutaj właściwej odpowiedzi.
Punktem, który wymusił tę edycję, jest jednak to, że obecnie bierzemy tak wiele bibliotek open source z NuGet, a wiele z nich w ogóle nie jest podpisanych. Jeśli chcesz podpisać swój zestaw, musisz mieć również podpisane wszelkie zależności. Wiele z podpisanych bibliotek typu open source ma klucze prywatne używane do podpisywania, które są publicznie dostępne w ich repozytoriach źródłowych.
Jak w przypadku wszystkiego, trzeba dokonać kompromisów. Z mojego doświadczenia w pracy w środowiskach prywatnych wynika , że korzyści płynące z podpisywania są głównie teoretyczne (lub akademickie, jak wspomina @ user289100 ), chyba że obawiasz się , że agencje rządowe modyfikują twój kod. W takim przypadku musisz mieć paranoję na tak wielu poziomach Twoja infrastruktura, że podpisanie wydawałoby się wymagające niewielkiego wysiłku. W przeciwnym razie ilość wyzwań płynących z konieczności podpisywania wszystkiego po prostu nie wydaje się tego warta. Jednak twoje środowisko może mieć inne wymagania, albo możesz być masochistą!
Zobacz także odpowiedź Teun D, aby uzyskać informacje na temat wyzwań związanych z wersjonowaniem zestawów podczas używania silnych nazw.