Outputs disagree on Baseline version and assessor identity (2025.10.10 vs v2026.02.19, nonexistent baseline-mcp)
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 55/100
Línea de trabajo
Start with openssf-baseline.toml and trace the version and tool identity through attestation/predicate.py, formatters/sarif.py, and attestation/signing.py; check the related tests for expected output. Done means outputs use consistent version and identity values, and references to the nonexistent baseline-mcp package are removed.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Summary
darnit's outputs disagree about which OSPS Baseline version was assessed and who the assessor is:
- Framework TOML metadata:
spec_version = "OSPS v2026.02.19" - Attestation predicate: hard-codes baseline
2025.10.10and an assessor namedopenssf-baseline-mcpwith a URI for a repository that does not exist - SARIF formatter and about 60 control
docs_urlvalues: link tobaseline.openssf.org/versions/2025-10-10 - Attestation install hints reference a
baseline-mcppackage that does not exist
Impact
A signed attestation that names the wrong spec version and a nonexistent assessor is misleading to consumers, and version-specific control text links point at an older Baseline release than the one the controls were synced to.
Evidence
- https://github.com/darnitdevorg/darnit/blob/032493b8bc9d6ef810ecd639e515042371465c37/packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml#L10-L12
- https://github.com/darnitdevorg/darnit/blob/032493b8bc9d6ef810ecd639e515042371465c37/packages/darnit-baseline/src/darnit_baseline/attestation/predicate.py#L127-L129
- https://github.com/darnitdevorg/darnit/blob/032493b8bc9d6ef810ecd639e515042371465c37/packages/darnit-baseline/src/darnit_baseline/formatters/sarif.py#L107
- https://github.com/darnitdevorg/darnit/blob/032493b8bc9d6ef810ecd639e515042371465c37/packages/darnit-baseline/src/darnit_baseline/attestation/signing.py#L90
Suggested direction
Derive the spec version and tool identity from one place (TOML [metadata] and the installed package version) in every output; drop the hard-coded values and the baseline-mcp references. Separately, the predicate type lives under the openssf.org namespace, which darnit does not own; that is being discussed as part of the output-format review.
- Lenguaje dominante
- Python
- Estrellas
- 22
- Forks
- 27
- Merge medio
- 1 d 20 h
- PR fusionados (30 d)
- 39
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de darnitdevorg/darnit
-
needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
darnitdevorg/darnit#589 ·
Los mantenedores suelen responder en 1 día
-
needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
darnitdevorg/darnit#587 ·
Los mantenedores suelen responder en 1 día
-
needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
darnitdevorg/darnit#585 ·
Los mantenedores suelen responder en 1 día
-
quality
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
darnitdevorg/darnit#523 ·
Los mantenedores suelen responder en 1 día
-
documentation good first issue
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
darnitdevorg/darnit#516 ·
Los mantenedores suelen responder en 1 día
Todos los issues de darnitdevorg/darnit
Issues similares
-
fix(accounts): Balance Sheet and Profit and Loss crash on PostgreSQL due to MySQL force_indexAbierto
Dificultad 1/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día
-
Discord webhook notifications fail with HTTP 403 (Cloudflare blocks default urllib User-Agent)Abierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 85/100
tharje/spooler-v2#20 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
Los mantenedores suelen responder en 1 día
-
Bump version of azure-servicebusPosiblemente ocupada @joostlek la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
home-assistant/core#186275 ·
Los mantenedores suelen responder en 1 día
-
documentation
Dificultad 1/5 Menos de una hora Aptitud para principiantes 72/100