Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Profile for private / internal repositories

Đang mở
  • Có gì không ổn?
#458 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
32/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
python
Lĩnh vực
devtools, security

Hướng nghiên cứu

Start by reading the audit_openssf_baseline checks and the reported results for the private repository, focusing on the listed controls that are inapplicable or produce false positives. The issue proposes both a private profile and changes to several checks, so clarify the intended scope before starting. Done should mean the agreed profile handles private-repository controls appropriately and the identified false positives are addressed.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

module-baseline

Ran the OpenSSF Baseline audit (audit_openssf_baseline, level 3, OSPS v2026.02.19) against a private GitHub repository - a governance-first monorepo where every push carries signed evidence, main is behind a ruleset requiring PR + two status checks, actions are SHA-pinned, dependencies are exactly pinned and allowlisted, CODEOWNERS is in place. Result: 26 pass / 21 fail / 17 warn / 2 error. Most of the fails are the baseline being shaped for public open-source projects, which makes the score misleading for the growing class of private, agent-heavy repos that arguably need this tooling most.

Fails that don't apply to a private repo, or can't

  • OSPS-LE-01/03 LICENSE, GV-03 CONTRIBUTING, DO-03/04/05 SUPPORT / EOL / release verification, QA-02.02 SBOM in releases, DO-02 bug-report template - all release/community surface a private repo may legitimately not have (yet).
  • OSPS-VM-03.01 "enable private vulnerability reporting" - the GitHub feature is unavailable on private repos (/private-vulnerability-reporting returns 404). The check can't pass; it should be N/A or accept a SECURITY.md contact instead.

False positives worth fixing regardless of profile

  • OSPS-QA-05.01/05.02 "generated executables / binaries in repository" flagged 1,281 and 64,997 files - all under gitignored target/ and __pycache__/. The check scans the working tree; it should scan tracked files (git ls-files) or honour .gitignore.
  • OSPS-SA-01.01 "no architecture documentation" - the repo has design/*.md (component maps + an SDLC overview). The pattern seems to want ARCHITECTURE.md specifically.
  • OSPS-DO-06.01 "dependency management process not documented" - the repo has a reviewed dependency-allowlist.yaml with a per-dependency why: and a CI check that fails on any unlisted dependency. The pattern seems to want a prose DEPENDENCIES.md.

What a private profile could emphasise instead

The controls that actually distinguish a well-run private repo, several of which the baseline already has and which did pass here: branch protection with required checks (AC-*, BR-*), SHA-pinned actions, pinned + reviewed dependencies (BR-05/06), CODEOWNERS (GV-01/04), workflow linting (BR-01 via zizmor - which is also currently an ERROR: Command not found when zizmor isn't installed, rather than a skip with guidance), secret scanning, signed commits or signed evidence on push, and - increasingly relevant - distinct identities for automated/agent contributors, so "who authored this" is answerable.

Happy to provide the full JSON report or test a candidate profile against this repo.

Ngôn ngữ chính
Python
Star
22
Fork
27
Merge trung bình
1 ngày 20 giờ
Pull request đã merge (30 ngày)
39

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của darnitdevorg/darnit

Tất cả issue của darnitdevorg/darnit

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.