OSPS-LE-01.01 checks for a license file, but the requirement is contributor sign-off (DCO/CLA)
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 45/100
Línea de trabajo
Start by reading the LE-01.01 HasLicense control in packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml, then compare its behavior with the issue's description of LE-03.01. Determine how the project represents control checks and WARN/manual outcomes before assessing sign-off evidence. Done means LE-01.01 no longer passes because a LICENSE file exists, and its remediation no longer creates that file.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Summary
darnit's OSPS-LE-01.01 checks the wrong requirement. Upstream, LE-01.01 is "Require Code Contributors to Assert Right to Commit": "The version control system MUST require all code contributors to assert that they are legally authorized to make the associated contributions on every commit" (for example DCO sign-off enforcement or a CLA check). darnit's control is named HasLicense, checks for a license file, and its remediation creates a LICENSE file -- which is what OSPS-LE-03.01 ("Maintain and Release Licenses in a Well Known Location") covers.
Impact
- Repositories with a LICENSE file PASS LE-01.01 whether or not contributors are required to sign off, so the control can report compliance for a requirement it never checked.
- The license-file check is duplicated between LE-01.01 and LE-03.01.
Evidence
- darnit control: https://github.com/darnitdevorg/darnit/blob/bbe1bb426e701a3b283d74425a566425011daa89/packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml#L1694
- Upstream requirement text: OSPS Baseline catalog (ossf/security-baseline), OSPS-LE-01.01.
Suggested direction
Re-implement LE-01.01 to check that contributions must assert the right to commit -- for example a required DCO status check, a DCO/CLA app or workflow, or branch rules requiring signed-off commits -- falling back to WARN/manual when it cannot be determined, and never PASS from the presence of a LICENSE file. Remove the license-file remediation from LE-01.01 (LE-03.01 keeps it). Related: #495 (other catalog drift).
- Lenguaje dominante
- Python
- Estrellas
- 22
- Forks
- 27
- Merge medio
- 2 d 28 min
- PR fusionados (30 d)
- 40
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de darnitdevorg/darnit
-
needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
darnitdevorg/darnit#589 ·
Los mantenedores suelen responder en 1 día
-
needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
darnitdevorg/darnit#587 ·
Los mantenedores suelen responder en 1 día
-
needs triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
darnitdevorg/darnit#585 ·
Los mantenedores suelen responder en 1 día
-
quality
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
darnitdevorg/darnit#523 ·
Los mantenedores suelen responder en 1 día
-
documentation good first issue
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
darnitdevorg/darnit#516 ·
Los mantenedores suelen responder en 1 día
Todos los issues de darnitdevorg/darnit
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
huggingface/peft#3955 ·
Los mantenedores suelen responder en 1 día
-
author-page correction
Dificultad 2/5 1-3 horas Aptitud para principiantes 60/100
acl-org/acl-anthology#10313 ·
Los mantenedores suelen responder en 1 día
-
anime duplicate exception request-theme
Dificultad 1/5 Menos de una hora Aptitud para principiantes 82/100
LizardByte/ThemerrDB#8926 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
huggingface/transformers#49556 ·
Los mantenedores suelen responder en 1 día
-
area/security bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
mozilla-ai/otari#2245 ·
Los mantenedores suelen responder en 1 día