ci: preparar análisis estático aislado del repositorio
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 5/5
- 预计耗时
- 一周以上
- 新手友好度
- 1/100
- Issue 类型
- 功能
- 描述清晰度
- 基本清楚
- 活跃度
- 活跃
- 技术栈
- github-actions, javascript, typescript
调研方向
Start by reviewing the proposed files under .github/security-drafts/ and the pinned Semgrep CE and zizmor versions. The issue reports local validation of candidate 7b54a97d2310538ac226711a9fb585ca57a4b020, including 24 zizmor entrypoint tests and an offline CLI run; inspect those checks and the reported safeguards. Done means the isolated CLI and inactive workflow are delivered with UNPUBLISHED_REVIEW_REQUIRED; publishing a trusted baseline and activating it are separate decisions.
由索引模型根据 Issue 内容生成。
描述
Pre-flight checks
- I searched existing issues and found no duplicate.
- I understand that this proposal requires product review before implementation.
El asistente consultó issues abiertas y cerradas; #82 cubre CI/tests y Gitleaks, no este nuevo alcance. El mantenedor confirmó directamente la declaración de comprensión, aprobó este alcance y autorizó crear esta issue con status:approved. La implementación fue preparada y verificada localmente con autorización previa; esta issue registra su entrega, no una aprobación retroactiva inferida.
Problem to solve
La CI existente comprueba tests/build y secretos, pero no añade una capa que inspeccione blobs Git como datos con política de repositorio, cobertura independiente y análisis estático aislado. Ejecutar herramientas/configuración del checkout objetivo como si fueran confiables ampliaría el riesgo de analizar una PR.
Proposed solution
Publicar las herramientas revisadas para una futura baseline confiable: checker de política, exportación Git e inventario/hash, precheck de parseo JS/TS, Semgrep CE 1.180.0 y zizmor 1.30.1 fijados, provisionado verificado de 67 artefactos, contenedores offline y normalización de avisos sin snippets ni mensajes del scanner.
Entregar una CLI y un workflow todavía inactivo en .github/security-drafts/, con bloqueo UNPUBLISHED_REVIEW_REQUIRED. La baseline deberá fijarse a un SHA publicado y revisado antes de una adopción autorizada aparte.
Affected area
CI or automation
Scope and non-goals
- Infracciones de política, fallos operativos y cobertura desconocida bloquean; hallazgos de scanners son avisos contextuales.
- Excepciones binarias únicamente por ruta/hash aprobados; no constituyen garantía de benignidad.
- El único ajuste de aplicación es la regexp equivalente de ProviderLogo autorizada y cubierta por pruebas.
- No se modifican los workflows activos de CI, Gitleaks ni Release. Sin merge automático, activación, cambios de visibilidad/protecciones, secretos, firma o release.
- No se certifican ausencia general de malware, Rust/dataflow/exfiltración ni portabilidad del scanner a Windows.
Validación local del candidato 7b54a97d2310538ac226711a9fb585ca57a4b020: 219 tests frontend, 145 Node, typecheck/build correctos; 24 pruebas Python del entrypoint zizmor verificadas independientemente. Política correcta y CLI offline real: 87 fuentes JS/TS y 3 workflows, cero hallazgos y limpieza comprobada. Los artefactos usados fueron revalidados por tamaño y SHA-256. No equivale a una ejecución de este workflow en GitHub.
Las revisiones nativas se cerraron por unidades. El corte inicial incompleto de zizmor fue rechazado; se preservó su autoridad y se recuperó con el auditor completo y sus pruebas, aprobado posteriormente. No se atribuye TDD a pruebas añadidas tras la implementación.
El mantenedor eligió una sola PR, conservando los commits revisados y aceptando la mayor carga de revisión: 44 archivos, 4.249 adiciones y 2 eliminaciones. Las PR usarán Refs sin cierre automático de esta issue. La integración y la activación siguen siendo decisiones independientes.
Alternatives considered
Se evaluaron PR encadenadas; el mantenedor eligió una PR única. Se descartó aceptar cobertura sólo porque el scanner devolviera éxito, ejecutar código del target o activar un workflow sin baseline confiable. No se recortaron pruebas para reducir el diff. El rollback de una futura adopción retiraría esta capa mediante un cambio revisado, sin alterar CI/Gitleaks/Release existentes.
- 主要语言
- TypeScript
- 星标
- 10
- 派生
- 2
- 平均合并
- 4 小时 41 分钟
- 30 天内合并 PR
- 112
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
egdev6/quorb 的其他 Issue
-
type:bug
难度 3/5 1-2 天 新手友好度 58/100
维护者通常 1 天内回复
-
type:bug
难度 4/5 1-2 天 新手友好度 48/100
维护者通常 1 天内回复
-
type:bug
难度 4/5 3-5 天 新手友好度 48/100
维护者通常 1 天内回复
-
难度 5/5 一周以上 新手友好度 35/100
维护者通常 1 天内回复
-
Proveedor OpenCode Go: cuotas de 5 h, semanal y mensual可能已有人在做 @SrStamm 于 3 天前认领。 未关闭status:approved
难度 4/5 3-5 天 新手友好度 48/100
egdev6/quorb#187 · 10 条评论 · 已指派 1 人 ·
维护者通常 1 天内回复
相似的 Issue
-
bug ready-for-agent
难度 2/5 1-3 小时 新手友好度 73/100
PhyberApex/kuroshiro#1687 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 73/100
microsoft/monaco-editor#5563 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
bug
难度 1/5 1 小时以内 新手友好度 86/100
awslabs/visual-asset-management-system#937 ·
维护者通常 1 天内回复
-
enhancement
难度 2/5 1-3 小时 新手友好度 72/100