OSPS-LE-01.01 checks for a license file, but the requirement is contributor sign-off (DCO/CLA)
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
調査の方向性
Start by reading the LE-01.01 HasLicense control in packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml, then compare its behavior with the issue's description of LE-03.01. Determine how the project represents control checks and WARN/manual outcomes before assessing sign-off evidence. Done means LE-01.01 no longer passes because a LICENSE file exists, and its remediation no longer creates that file.
索引モデルが issue の本文から書いたものです。
説明
Summary
darnit's OSPS-LE-01.01 checks the wrong requirement. Upstream, LE-01.01 is "Require Code Contributors to Assert Right to Commit": "The version control system MUST require all code contributors to assert that they are legally authorized to make the associated contributions on every commit" (for example DCO sign-off enforcement or a CLA check). darnit's control is named HasLicense, checks for a license file, and its remediation creates a LICENSE file -- which is what OSPS-LE-03.01 ("Maintain and Release Licenses in a Well Known Location") covers.
Impact
- Repositories with a LICENSE file PASS LE-01.01 whether or not contributors are required to sign off, so the control can report compliance for a requirement it never checked.
- The license-file check is duplicated between LE-01.01 and LE-03.01.
Evidence
- darnit control: https://github.com/darnitdevorg/darnit/blob/bbe1bb426e701a3b283d74425a566425011daa89/packages/darnit-baseline/src/darnit_baseline/openssf-baseline.toml#L1694
- Upstream requirement text: OSPS Baseline catalog (ossf/security-baseline), OSPS-LE-01.01.
Suggested direction
Re-implement LE-01.01 to check that contributions must assert the right to commit -- for example a required DCO status check, a DCO/CLA app or workflow, or branch rules requiring signed-off commits -- falling back to WARN/manual when it cannot be determined, and never PASS from the presence of a LICENSE file. Remove the license-file remediation from LE-01.01 (LE-03.01 keeps it). Related: #495 (other catalog drift).
- 主要言語
- Python
- スター
- 22
- フォーク
- 27
- 平均マージ
- 1日 20時間
- マージ済み PR（30日）
- 39
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
darnitdevorg/darnit のほかの issue
-
needs triage
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
darnitdevorg/darnit#589 ·
メンテナーはふだん 1 日以内に返信
-
needs triage
難易度 2/5 1〜3時間 初心者へのやさしさ 83/100
darnitdevorg/darnit#587 ·
メンテナーはふだん 1 日以内に返信
-
needs triage
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
darnitdevorg/darnit#585 ·
メンテナーはふだん 1 日以内に返信
-
quality
難易度 2/5 1〜3時間 初心者へのやさしさ 66/100
darnitdevorg/darnit#523 ·
メンテナーはふだん 1 日以内に返信
-
documentation good first issue
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
darnitdevorg/darnit#516 ·
メンテナーはふだん 1 日以内に返信
darnitdevorg/darnit の issue をすべて見る
似ている issue
-
[Bug]: Streamed /v1/chat/completions sends unredacted agent error text (keys) in the final chunk対応中かも @rodricksz4h5 が今日担当しました。 オープンarea/streaming comp/gateway P2 type/security
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
NousResearch/hermes-agent#138245 ·
メンテナーはふだん 1 日以内に返信
-
[oblt-aw][autodoc] Update user onboarding guide for mandatory trigger CODEOWNERS step対応中かも @github-actions が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 66/100
メンテナーはふだん 1 日以内に返信
-
correction metadata
難易度 2/5 1時間未満 初心者へのやさしさ 68/100
acl-org/acl-anthology#10378 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
cloudtrail_multi_region_enabled_logging_management_events fails when the advanced event selector has a custom name対応中かも @12YYCCYY16 が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
prowler-cloud/prowler#13033 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 1/5 1〜3時間 初心者へのやさしさ 88/100
graygarbage/HermesKey#23 ·