Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Optional: publicly verifiable certificate for humanizer (one workflow file)

Đang mở
  • Có gì không ổn?
#322 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 27 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
1/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
38/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github-actions
Lĩnh vực
security

Hướng nghiên cứu

The proposed change is .github/workflows/workrr.yml; first review the workflow permissions and the linked workrr-trust/certify workflow at v0.1.3. Done means adding the workflow so pushes to main and tags run certification. The issue asks maintainers to express interest before the reporter opens a PR, so wait for that response before starting.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Hi! I'm working on workrr trust, an open-source way to give agent skills and MCP servers a certificate anyone can verify. We ran its checks read-only across popular skills and MCP servers, and . in this repo passed cleanly at commit 8c307f3.

Would you like a certificate for humanizer? It takes one workflow file. If you're interested, reply here and I'll open a PR, or add the file yourself:

# .github/workflows/workrr.yml
name: workrr
on:
  push:
    branches: [main]
    tags: ["v*"]
jobs:
  certify:
    permissions:
      contents: read
      id-token: write
      attestations: write
    uses: workrr-trust/certify/.github/workflows/[email protected]
    with:
      path: .

On each push to main, the open-source certifier hashes ., runs a baseline policy and known-pattern checks (prompt-injection phrasing, hidden Unicode, remote scripts piped to a shell and similar), and signs the result with Sigstore. The certificate is recorded in the public Rekor transparency log, so users can check that what they installed matches this repo at a given commit. Nothing is uploaded or rehosted.

About the permissions, since a workflow from an outside org deserves a close look:

  • id-token: write is how Sigstore keyless signing works. The certifier requests the token only for the sigstore audience (sent to Sigstore to get a short-lived signing certificate) and the workrr-certify audience (read on the runner to confirm which certifier commit is running). It isn't usable for cloud logins that expect another audience.
  • attestations: write attaches the signed certificate to this repo's attestations. contents: read reads the files being certified.
  • It runs only on pushes to your default branch and on your tags, never on pull requests, and receives no secrets.
  • v0.1.3 is tag object 7cf13e7228c6f2bdf01b6d3ab670edef6f77fe4b (commit 46c524bf97e8f580375edff746c847b86f4b23f9). Released tags are never moved, and Sigstore records the exact certifier commit in every certificate.

Not interested? Just close this. Nothing else will follow.

Ngôn ngữ chính
Python
Star
53.9k
Fork
4.3k
Merge trung bình
26 ngày 3 giờ
Pull request đã merge (30 ngày)
1

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của blader/humanizer

Tất cả issue của blader/humanizer

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.