Asks for updates to this package's repository security.

Đang mở
  • Có gì không ổn?
#337 6 bình luận 4 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
35/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Đình trệ
Công nghệ
github-actions
Lĩnh vực
ci-cd, security

Hướng nghiên cứu

Xem lại cài đặt của nhánh chính của repository và .github/workflows/release.yml cũng như .github/workflows/python-test.yml, sau đó so sánh chúng với hướng dẫn được tham chiếu của OSS-Fuzz Scorecard về bảo vệ nhánh và quyền của token. Hoàn tất khi tính năng bảo vệ nhánh được yêu cầu và các quyền workflow theo nguyên tắc đặc quyền tối thiểu đã được cấu hình, đồng thời đánh giá bảo mật không còn báo cáo các cảnh báo này.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

community feature P2 security

Hi, our project utilizes a lot of dash plotly packages (really appreciate all your work!), and would like to leverage dash-ag-grid for some new functionalities under design/development.
However, we are concerned about the security setup of this repository, and the risk of future bad changes making into the package.
We used the tool https://github.com/ossf/scorecard to help us assess the repository security.
Some of the major concerning areas are:

  1. branch protection - the 'main' branch is not under any branch protection rule that governs write access and how changes make into releases. The recommendation is https://github.com/ossf/scorecard/blob/main/docs/checks.md#branch-protection.
  2. token permission -
    Warn: jobLevel 'contents' permission set to 'write': .github/workflows/release.yml:13
    Warn: no topLevel permission defined: .github/workflows/python-test.yml:1
    Warn: no topLevel permission defined: .github/workflows/release.yml:1
    Which can be easily mitigated, see https://github.com/ossf/scorecard/blob/main/docs/checks.md#token-permissions.

Can you let me know if those security configurations can be updated soon? As it is, we would like to use the dash-ag-grid but cannot due to the security concerns (given the rise of software pipeline attacks).

Ngôn ngữ chính
Python
Star
239
Fork
48
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của plotly/dash-ag-grid

Tất cả issue của plotly/dash-ag-grid

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.