Hacktoberfest 2026: die Issues, die Maintainer für den Oktober markiert haben – offen und einsteigerfreundlich. Hacktoberfest-Issues durchsuchen

Add the OpenSSF Scorecard GitHub Action and publish the results

Offen Anfängerfreundlich
  • Stimmt etwas nicht?
#1,332 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 2 Tagen

@AdepuSriCharan arbeitet bereits daran.

Seit 22.10.2026.

  • #1341 von @AdepuSriCharan — offen

Bewertung

Schwierigkeit
2/5
Geschätzter Aufwand
1-3 Stunden
Anfängerfreundlichkeit
78/100
Issue-Typ
Feature
Klarheit
Klar beschrieben
Aktivitätsstatus
Aktiv
Tech-Stack
github-actions, python
Bereich
devops, security

Rechercherichtung

Beginne mit dem README der Scorecard-Action und den vorhandenen Workflows unter .github/workflows/; füge einen Workflow hinzu, der die aufgeführten Anforderungen an Trigger, Berechtigungen, Action-Pinning, Veröffentlichung der Ergebnisse und den SARIF-Upload erfüllt. Führe actionlint .github/workflows/scorecard.yaml aus, um ihn zu prüfen. Fertig ist die Aufgabe, wenn der Workflow die Akzeptanzkriterien erfüllt und die bestehende CI weiterhin grün ist.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

good first issue help wanted

Problem

python-sdk has no OpenSSF Scorecard results published. The public Scorecard API returns nothing for it today (curl -s https://api.securityscorecards.dev/projects/github.com/dapr/python-sdk is a 404), while dapr/dapr is already scanned. Running the official Scorecard action on a schedule gives users a public score for the project's supply-chain practices, and gives maintainers a list of concrete things to fix (pinned dependencies, token permissions, branch protection and so on) in the repo's code scanning alerts.

Proposed change

Add a workflow, for example .github/workflows/scorecard.yaml, using ossf/scorecard-action. The action's README has a starter workflow; the important parts are:

  • Triggers: push to main, a weekly schedule, and branch_protection_rule.
  • Top-level permissions: read-all, and on the job only what it needs: security-events: write (upload SARIF), id-token: write (publish results), contents: read, actions: read.
  • ossf/scorecard-action with results_format: sarif and publish_results: true.
  • Upload the SARIF with github/codeql-action/upload-sarif so findings appear under Security, Code scanning.
  • Optionally upload the SARIF with actions/upload-artifact too, for easy download.

Pin the actions in this new workflow to commit SHAs with the version as a trailing comment (for example uses: actions/checkout@<sha> # v7.0.0). Scorecard's own Pinned-Dependencies check expects it, and publish_results: true requires the workflow to follow the action's restrictions (see its README).

Optionally, add the Scorecard badge to README.md:

[![OpenSSF Scorecard](https://api.scorecard.dev/projects/github.com/dapr/python-sdk/badge)](https://scorecard.dev/viewer/?uri=github.com/dapr/python-sdk)

Acceptance criteria

  1. A Scorecard workflow runs on push to main, weekly, and on branch protection changes.
  2. It uses ossf/scorecard-action with publish_results: true, and uploads the SARIF to code scanning.
  3. The workflow's token has read-only permissions at the top level and only the job-level write permissions listed above.
  4. All uses: in the new workflow are pinned to full commit SHAs with a version comment.
  5. Existing CI stays green.

How to test

  1. Run actionlint .github/workflows/scorecard.yaml locally.
  2. After merge (or via workflow_dispatch if you add it), check the run succeeds and that results appear under Security, Code scanning.
  3. Confirm curl -s https://api.securityscorecards.dev/projects/github.com/dapr/python-sdk returns a JSON result.
  4. Before opening the PR you can preview the score locally with the scorecard CLI: scorecard --repo=github.com/dapr/python-sdk (needs a GITHUB_AUTH_TOKEN).
Vorherrschende Sprache
Python
Sterne
274
Forks
160
Ø Merge
1 T. 23 Std.
Gemergte PRs (30 T.)
70

Entwicklungsumgebung

In Codespaces öffnen

Startet den Dev-Container des Projekts im Browser, mit Ihrem eigenen GitHub-Konto.

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus dapr/python-sdk

Alle Issues in dapr/python-sdk

Ähnliche Issues

Weitere Issues zu Python

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.