JFrog Curation 是 JFrog 平台的包防火墙，在包从远程仓库下载进入 Artifactory 之前进行拦截检查。它基于预索引的已知风险目录评估包，不合规的包会被阻止且不会存储。
主要能力：支持多种策略类型，包括恶意包、严重漏洞（按 CVSS 阈值）、传染性许可证（如 GPL、AGPL）、过时包、非官方 Docker 镜像。提供豁免机制，允许特定包或版本绕过策略，可限定仓库范围并设置过期日期。所有策展决策均记录审计日志，包含时间戳、包详情、触发策略、执行动作和请求用户。
使用方式：所有请求需通过 Authorization 头携带访问令牌，基础 URL 为 https://$JFROG_URL/curation/api/...。推荐使用 jf api（JFrog CLI 2.100.0+），curl 为备用方案。操作前需验证 Curation 可用性：GET $JFROG_URL/curation/api/v1/system/ping（预期 HTTP 200），不可用则停止。认证流程通过 jf config show 检查已保存凭据，多环境时询问选择，无凭据则引导网页登录并通过 jf config add 保存。
关键 API 操作包括：创建策略（POST /curation/api/v1/policies）、列出策略（GET）、更新策略（PUT）、获取审计事件（GET /curation/api/v1/audit）、创建豁免（POST /curation/api/v1/waivers）、列出豁免（GET）。CLI 命令 jf curation-audit 可审计当前项目。
适用场景：适用于需要管控开源包风险的开发与安全团队，支持部分气隙环境（气隙 JPD → DMZ JPD → Curation 服务 → 公共注册表）和完全气隙环境（通过工单申请、DMZ 获取、物理导出导入）。
限制：需 JFrog 环境已部署 Curation，否则无法使用；认证依赖 jf CLI 或访问令牌；具体收费、价格及平台细节暂未提供。