Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

access_control audit profile lists three undefined controls and omits OSPS-AC-04.01/04.02

Đang mở
  • Có gì không ổn?
#581 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
Nửa ngày
Mức phù hợp với người mới
45/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
python
Lĩnh vực
authorization, security

Hướng nghiên cứu

The bad list is the [audit_profiles.access_control] block in openssf-baseline.toml, and the tests that let it pass are test_access_control_profile and test_profile_control_ids_resolve in tests/darnit_baseline/test_profiles.py. Start by comparing the listed IDs with the AC controls the baseline actually defines, and check darnit profiles for the reported count. Done means the profile selects only defined controls, either by tag or by a corrected list, and a new test fails when a profile lists an undefined ID. Confirm the tag-based or explicit-list choice with a maintainer first.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

needs triage

Summary

The access_control audit profile in openssf-baseline.toml lists three controls the framework does not define, and leaves out two that it does.

[audit_profiles.access_control]
description = "Access control domain — branch protection, MFA, permissions"
controls = [
    "OSPS-AC-01.01", "OSPS-AC-01.02", "OSPS-AC-01.03",
    "OSPS-AC-02.01", "OSPS-AC-02.02",
    "OSPS-AC-03.01", "OSPS-AC-03.02",
]

The AC controls the baseline defines are OSPS-AC-01.01, 02.01, 03.01, 03.02, 04.01 and 04.02.

Controls
Listed, not defined OSPS-AC-01.02, OSPS-AC-01.03, OSPS-AC-02.02
Defined, not listed OSPS-AC-04.01, OSPS-AC-04.02

Effect

  • darnit profiles reports the profile as "7 controls".
  • An audit with the profile runs 4. (On main the CLI ignores --profile altogether; this is with #576, which connects it. The MCP tools already apply profiles, so they are affected today.)
  • Nothing reports the gap. #576 adds a warning that names listed controls the framework does not define.
  • A user who picks "access control" does not get the two AC-04 controls.

Why the tests pass

tests/darnit_baseline/test_profiles.py has test_access_control_profile and test_profile_control_ids_resolve. Both assert only that at least one ID is present or resolves, and that every ID starts with OSPS-AC-. Neither checks that each listed ID is a defined control.

Suggested direction

  • Make the profile tag-based, like the other two: tags = { domain = "AC" }. That selects the six AC controls today and cannot go stale when controls are added or renumbered. If an explicit list is wanted instead, correct it to the six above.
  • Add a test, over every shipped framework, that each ID a profile lists is a defined control.

I can send the PR if you agree with the tag-based form. I have not, because which controls belong in the profile is a content decision.

Environment

darnit main at 24a4fed.

Drafted with Claude; reviewed and filed by me.

Ngôn ngữ chính
Python
Star
22
Fork
27
Merge trung bình
1 ngày 20 giờ
Pull request đã merge (30 ngày)
39

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của darnitdevorg/darnit

Tất cả issue của darnitdevorg/darnit

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.