Dmitry Russ (Aleksandrov)
А как это автоматизировать?
Сложный вопрос.
Но в принципе, у тебя есть ограниченное количество возможностей сделать деструктивные действия, такие как: запрос на удалённый сервер, модификация файлов на операционной системе и т.п..
Если у тебя в описании пакета декларативно описаны возможности, которые он должен предоставлять, то ты можешь проверять код на то, попадает ли он под эти ограничения.
К примеру, код flatbuf-stream (или как он там называется?) не должен делать запросы и анализировать файлы на файловой системе.
И в случае, если при очередно обновлении ты получил код, который нарушает эти ограничения, то ты можешь уведомлять всех, кто в этом пакете заинтересован о том, что что-то не так и они должны заапрувить или отвергнуть изменения.