chore: Harden all GitHub Workflows using Zizmor
まだ誰も着手していません。
評価
- 難易度
- 3/5
- 見積もり時間
- 1〜2日
- 初心者へのやさしさ
- 68/100
調査の方向性
.github/workflows/ 配下の既存ファイルと、リポジトリの現在のブランチおよび権限に関する規約を確認することから始めます。zizmor-action、指定された pull_request パスフィルター、週次スケジュール、最小権限の permissions、timeout を使用して .github/workflows/zizmor.yml を追加します。workflow を実行するか、その checks を調査して、findings によって PR の実行が失敗し、annotations または明確なログを通じて報告されることを確認します。
索引モデルが issue の本文から書いたものです。
説明
Tool
zizmor — https://github.com/zizmorcore/zizmor
GitHub Action
zizmor-action — https://github.com/zizmorcore/zizmor-action
Goal
Harden all GitHub workflows using automated analysis and recommendations.
Implementation idea
- Add
zizmoras a dedicated GitHub Actions workflow that analyzes all workflows in.github/workflows/**. - Run it:
- on every pull request (only when files under
.github/workflows/**changed), and - on a weekly schedule (scan the full
.github/workflows/**set).
- on every pull request (only when files under
- Triage findings and apply recommended changes to workflows to improve security/compliance.
Triggers (detailed)
pull_request:paths: [".github/workflows/**"]- Runs for PRs targeting the default branch (and/or the repo’s main development branches as applicable).
schedule:- weekly cron (e.g.,
"0 0 * * 6" # Every Saturday 00:00 UTC) - Always scans all workflows under
.github/workflows/**(not change-filtered).
- weekly cron (e.g.,
Behavior on findings
- If
zizmorfinds issues in a pull request run, the workflow check must fail (block merge) until findings are addressed. - Reporting should use GitHub annotations if possible; otherwise fall back to clear text output in logs/job summary.
Output / Reporting
- Preferred: GitHub annotations surfaced directly in the PR checks UI.
- Fallback: simple text output (logs and/or job summary) that clearly lists findings.
Implementation details / constraints
- Workflow file:
.github/workflows/zizmor.yml - Runner:
ubuntu-latest - Permissions: least privilege (default to
contents: read, add only what is required) - Add reasonable
timeout-minutesto avoid hanging runs.
Acceptance Criteria
- A
zizmorworkflow exists in.github/workflows/and runs on:pull_requestevents withpaths: [".github/workflows/**"], and- a weekly
schedule.
- PR runs are blocking: the check fails if findings are detected.
- Findings are surfaced via annotations where possible; otherwise via simple text output.
Exit Criteria
- All
zizmorfindings are addressed by either:- fixing them in the same pull request that introduced them, or
- creating individual follow-up ticket(s)/issue(s) to track and complete the remediation.
- 主要言語
- TypeScript
- スター
- 25
- フォーク
- 16
- 平均マージ
- 7日 18時間
- マージ済み PR（30日）
- 5
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
CycloneDX/cyclonedx-javascript-library のほかの issue
-
export for denoオープンenhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
-
CycloneDX 1.7.1オープン
難易度 3/5 1〜2日 初心者へのやさしさ 48/100
-
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
-
enhancement schema 2.0
難易度 5/5 1週間以上 初心者へのやさしさ 35/100
-
chore: revisit publishing process再び着手できるかも @jkowalleck が 199 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンchore
CycloneDX/cyclonedx-javascript-library#1424 · 担当者 1 名 ·
CycloneDX/cyclonedx-javascript-library の issue をすべて見る
似ている issue
-
community first-timers-only good first issue hacktoberfest help wanted low hanging fruit up-for-grabs
難易度 1/5 1時間未満 初心者へのやさしさ 82/100
lingdojo/kana-dojo#33286 · コメント 1 件 · リアクション 5 件 ·
メンテナーはふだん 1 日以内に返信
-
friction
難易度 1/5 1時間未満 初心者へのやさしさ 77/100
kentcdodds/kody#4499 ·
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
hemilabs/ui-monorepo#2605 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 6 日以内に返信
-
build.yml: macOS arm64 DMG fails, cargo missing on the macos-26 runner image対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
getopenscreen/openscreen#1423 ·
メンテナーはふだん 1 日以内に返信