当我的 .gemspec 中包含所有 gem 时，如何避免打包程序警告多个来源？

Question

在我自己的 gem 中，我有一个 Gemfile，它看起来基本上是这样的：

source 'https://my.gemserver.com'
source 'https://rubygems.org'

gemspec

我的.gemspec 的所有依赖项都列为add_dependency 和add_development_dependency。

从 Bundler 1.8 开始，我收到警告：

Warning: this Gemfile contains multiple primary sources. Using `source` more than
once without a block is a security risk, and may result in installing unexpected gems.
To resolve this warning, use a block to indicate which gems should come from the
secondary source. To upgrade this warning to an error,
run `bundle config disable_multisource true`.

有没有办法解决这个警告（不通过捆绑配置静音）？我在 Rubygems 规范中找不到任何关于源选项的信息。

Answer 1

要详细说明the bundler issue 上的讨论，正如之前的答案所述，您必须在您的Gemfile 中包含宝石。但是，您只需要在 .gemspec 中指定 gem 的版本。如果您更改版本的频率高于私有依赖项，这不是一个糟糕的解决方案。

在Gemfile中引用没有版本的gem：

# Gemfile
source 'https://rubygems.org'

source 'https://xxx@gem.fury.io/me/' do
  gem 'my-private-dependency'
end

gemspec

在.gemspec 中引用带有版本规范的gem：

# my-gem.gemspec
lib = File.expand_path('../lib', __FILE__)
$LOAD_PATH.unshift(lib) unless $LOAD_PATH.include?(lib)

Gem::Specification.new do |spec|
  spec.add_dependency 'my-private-dependency', '~> 0.1.5'
end

Answer 2

有点难过，但必须将其移至 Gemfile :-(

宝石文件：

source 'https://my.gemserver.com' do
  your_gem1
  your_gem2
  #...
end

source 'https://rubygems.org'

gemspec

但是，如果您的某些宝石应该包含在 :development 或 :test 组中，则可以使用以下方法

宝石文件：

your_gem1, :source => 'https://my.gemserver.com'
#...
group :development do
  your_gem2, :source => 'https://my.gemserver.com'
  #...
end

source 'https://rubygems.org'

gemspec

Answer 3

不，您需要将警告静音或将源代码块添加到您的Gemfile，并使用您希望来自您的私人服务器的特定宝石。不需要复制来自rubygems.org 的那些（或者你可以反过来做，如果你依赖的私有宝石比公共宝石多，而且你的私人宝石本身不依赖于公共宝石） .

问题是gemspec 格式不支持为每个gem 指定来源，因此如果不将它们复制到Gemfile 中，就无法指定每个来源的哪些gem。