Hacktoberfest 2026: the issues maintainers tagged for October, open and beginner-friendly. Browse Hacktoberfest issues

ci: preparar análisis estático aislado del repositorio

Open
  • Is something wrong?
#85 0 comments 0 reactions 0 assignees View on GitHub

Maintainers usually reply within 1 day

Nobody has claimed this yet.

Assessment

Difficulty
5/5
Estimated time
Over a week
Newbie friendliness
1/100
Issue type
Feature
Clarity
Mostly clear
Activity status
Active
Tech stack
github-actions, javascript, typescript
Domain
ci-cd, devtools, security

Research direction

Start by reviewing the proposed files under .github/security-drafts/ and the pinned Semgrep CE and zizmor versions. The issue reports local validation of candidate 7b54a97d2310538ac226711a9fb585ca57a4b020, including 24 zizmor entrypoint tests and an offline CLI run; inspect those checks and the reported safeguards. Done means the isolated CLI and inactive workflow are delivered with UNPUBLISHED_REVIEW_REQUIRED; publishing a trusted baseline and activating it are separate decisions.

Written by the indexing model from the issue text.

Description

status:approved type:feature
Pre-flight checks
  • I searched existing issues and found no duplicate.
  • I understand that this proposal requires product review before implementation.

El asistente consultó issues abiertas y cerradas; #82 cubre CI/tests y Gitleaks, no este nuevo alcance. El mantenedor confirmó directamente la declaración de comprensión, aprobó este alcance y autorizó crear esta issue con status:approved. La implementación fue preparada y verificada localmente con autorización previa; esta issue registra su entrega, no una aprobación retroactiva inferida.

Problem to solve

La CI existente comprueba tests/build y secretos, pero no añade una capa que inspeccione blobs Git como datos con política de repositorio, cobertura independiente y análisis estático aislado. Ejecutar herramientas/configuración del checkout objetivo como si fueran confiables ampliaría el riesgo de analizar una PR.

Proposed solution

Publicar las herramientas revisadas para una futura baseline confiable: checker de política, exportación Git e inventario/hash, precheck de parseo JS/TS, Semgrep CE 1.180.0 y zizmor 1.30.1 fijados, provisionado verificado de 67 artefactos, contenedores offline y normalización de avisos sin snippets ni mensajes del scanner.

Entregar una CLI y un workflow todavía inactivo en .github/security-drafts/, con bloqueo UNPUBLISHED_REVIEW_REQUIRED. La baseline deberá fijarse a un SHA publicado y revisado antes de una adopción autorizada aparte.

Affected area

CI or automation

Scope and non-goals
  • Infracciones de política, fallos operativos y cobertura desconocida bloquean; hallazgos de scanners son avisos contextuales.
  • Excepciones binarias únicamente por ruta/hash aprobados; no constituyen garantía de benignidad.
  • El único ajuste de aplicación es la regexp equivalente de ProviderLogo autorizada y cubierta por pruebas.
  • No se modifican los workflows activos de CI, Gitleaks ni Release. Sin merge automático, activación, cambios de visibilidad/protecciones, secretos, firma o release.
  • No se certifican ausencia general de malware, Rust/dataflow/exfiltración ni portabilidad del scanner a Windows.

Validación local del candidato 7b54a97d2310538ac226711a9fb585ca57a4b020: 219 tests frontend, 145 Node, typecheck/build correctos; 24 pruebas Python del entrypoint zizmor verificadas independientemente. Política correcta y CLI offline real: 87 fuentes JS/TS y 3 workflows, cero hallazgos y limpieza comprobada. Los artefactos usados fueron revalidados por tamaño y SHA-256. No equivale a una ejecución de este workflow en GitHub.

Las revisiones nativas se cerraron por unidades. El corte inicial incompleto de zizmor fue rechazado; se preservó su autoridad y se recuperó con el auditor completo y sus pruebas, aprobado posteriormente. No se atribuye TDD a pruebas añadidas tras la implementación.

El mantenedor eligió una sola PR, conservando los commits revisados y aceptando la mayor carga de revisión: 44 archivos, 4.249 adiciones y 2 eliminaciones. Las PR usarán Refs sin cierre automático de esta issue. La integración y la activación siguen siendo decisiones independientes.

Alternatives considered

Se evaluaron PR encadenadas; el mantenedor eligió una PR única. Se descartó aceptar cobertura sólo porque el scanner devolviera éxito, ejecutar código del target o activar un workflow sin baseline confiable. No se recortaron pruebas para reducir el diff. El rollback de una futura adopción retiraría esta capa mediante un cambio revisado, sin alterar CI/Gitleaks/Release existentes.

Dominant language
TypeScript
Stars
10
Forks
2
Avg merge
16m
Merged PRs (30d)
51

Getting set up

This project ships no dev container, Dockerfile or contributing guide, so setting up is up to you: start from its README, and see our first-contribution guide for the general steps.

First steps

  1. Read the whole issue, then the project's contributing guide.
  2. Comment on the issue to say you are picking it up — it saves two people doing the same work.
  3. Fork the repository and make your change on a branch.
  4. Open a pull request that references the issue number.

More from egdev6/quorb

All issues in egdev6/quorb

Similar issues

More TypeScript issues

Get new issues in your inbox

A short digest of beginner-friendly GitHub issues.