[Phase 16] Write the SBOM / supply-chain standard (prerequisite of S12)
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 5/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 18/100
- Tipo de issue
- Documentación
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Stack tecnológico
- markdown, python
- Área
- documentation, security
Línea de trabajo
Read the Phase 16 roadmap at docs/roadmap/phase-16-trust-surface-hardening.md lines 904-908, the layout rules in documentation.md, and the severity handling in check_pip_audit.py. The standard goes under docs/standards/ and is linked from docs/standards/README.md. Done means every decision (CycloneDX version, completeness rules, retention, severity tiers) is a checkable rule and S12 can be reviewed against it.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Roadmap · Phase 16 · prerequisite of step S12 · size M · planned in
docs/roadmap/phase-16-trust-surface-hardening.md:904-908
Summary
SBOMs appear only as descriptive prose and one command; nothing states what a correct SBOM is or what the supply-chain gates mean. Phase 16 S12 has nothing to be reviewed against until this exists.
What the standard must settle
- The CycloneDX version.
- Component completeness: root exclusion,
bom-refuniqueness, license coverage, dependency graph. - The retention channel and window.
- The meaning of each
check_pip_audit.pyseverity tier.
Acceptance criteria
- The standard lives under
docs/standards/in the layoutdocumentation.mdprescribes and is listed indocs/standards/README.md. - It answers every point above with a rule a reviewer can check, not a description.
- Phase 16 step S12 can be reviewed against it.
Planned in docs/roadmap/phase-16-trust-surface-hardening.md (read at f94595f). Unit IDs (F-W20260729-…) come from the 2026-07-29/30 full-project review; the issue numbers next to them are the October 2026 review's records of the same defects.
- Lenguaje dominante
- Python
- Estrellas
- 9
- Forks
- 1
- Merge medio
- 7 h 42 min
- PR fusionados (30 d)
- 4
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de HodeTech/ForgeLM
-
area: dev-tooling bug severity: low source: roadmap wave: 4
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
-
area: site bug good first issue severity: low source: review-2026-09 wave: 4
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
-
documentation good first issue severity: medium source: review-2026-09 wave: 3
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
-
documentation good first issue severity: low source: review-2026-09 wave: 4
Dificultad 1/5 1-3 horas Aptitud para principiantes 80/100
-
documentation severity: medium source: review-2026-09 wave: 3
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
Todos los issues de HodeTech/ForgeLM
Issues similares
-
needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
darnitdevorg/darnit#587 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 67/100
Los mantenedores suelen responder en 1 día
-
accessibility good first issue
Dificultad 1/5 1-3 horas Aptitud para principiantes 92/100
Los mantenedores suelen responder en 1 día
-
llm translation
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
Los mantenedores suelen responder en 1 día
-
bug bug-hunt
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
Los mantenedores suelen responder en 1 día