Asks for updates to this package's repository security.

Abierto
  • ¿Algo no está bien?
#337 6 comentarios 4 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
35/100
Tipo de issue
Nueva funcionalidad
Claridad
Bastante claro
Estado de actividad
Estancado
Stack tecnológico
github-actions
Área
ci-cd, security

Línea de trabajo

Revisa la configuración de la rama principal del repositorio y .github/workflows/release.yml y .github/workflows/python-test.yml, y compárala con las directrices de OSS-Fuzz Scorecard referenciadas sobre la protección de ramas y los permisos de tokens. Se considera completado cuando la protección de ramas solicitada y los permisos del workflow según el principio de mínimo privilegio están configurados y la evaluación de seguridad ya no informa de estas advertencias.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

community feature P2 security

Hi, our project utilizes a lot of dash plotly packages (really appreciate all your work!), and would like to leverage dash-ag-grid for some new functionalities under design/development.
However, we are concerned about the security setup of this repository, and the risk of future bad changes making into the package.
We used the tool https://github.com/ossf/scorecard to help us assess the repository security.
Some of the major concerning areas are:

  1. branch protection - the 'main' branch is not under any branch protection rule that governs write access and how changes make into releases. The recommendation is https://github.com/ossf/scorecard/blob/main/docs/checks.md#branch-protection.
  2. token permission -
    Warn: jobLevel 'contents' permission set to 'write': .github/workflows/release.yml:13
    Warn: no topLevel permission defined: .github/workflows/python-test.yml:1
    Warn: no topLevel permission defined: .github/workflows/release.yml:1
    Which can be easily mitigated, see https://github.com/ossf/scorecard/blob/main/docs/checks.md#token-permissions.

Can you let me know if those security configurations can be updated soon? As it is, we would like to use the dash-ag-grid but cannot due to the security concerns (given the rise of software pipeline attacks).

Lenguaje dominante
Python
Estrellas
239
Forks
48
Sin PR fusionados en 30 d

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de plotly/dash-ag-grid

Todos los issues de plotly/dash-ag-grid

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.