Track OpenSSF Scorecard security follow-ups
维护者通常 2 天内回复
@ragen1337 已经在做这个了。
开始于 2026年10月2日。
评估
调研方向
未指定文件或测试入口点。首先定位 Rust 协议解析和反序列化代码，然后确定合适的模糊测试目标，并评估持续集成 OSS-Fuzz 的可行性。为这些路径添加模糊测试覆盖率并完成对 OSS-Fuzz 选项的评估后，即视为完成。
由索引模型根据 Issue 内容生成。
描述
Context
OpenSSF Scorecard identified several follow-up opportunities while validating #1214.
Follow-up work
- Pin all GitHub Actions to immutable full commit SHAs, retaining version comments for readability — #1216
- Pin the commitlint packages installed dynamically in CI — #1217
- Establish restrictive top-level
GITHUB_TOKENpermission defaults — #1218 - Remove unnecessary
contents: writefrom the coverage job inci.yml— #1219 - Tighten
release-plz.ymlpermissions by moving write grants to job scope — #1220 - Pin the temporary release-plz fork to an immutable revision — #1221
- Add fuzzing coverage for protocol parsing/deserialization and consider continuous OSS-Fuzz integration.
The linked PRs are intentionally focused so permission and dependency changes can be reviewed independently.
- 主要语言
- Rust
- 星标
- 4k
- 派生
- 662
- 平均合并
- 3 天 13 小时
- 30 天内合并 PR
- 35
环境准备
在浏览器里用你自己的 GitHub 账号启动这个项目的开发容器。
- 没有 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
modelcontextprotocol/rust-sdk 的其他 Issue
-
Streamable HTTP client: a 401 or 403 with a JSON-RPC error body and no WWW-Authenticate loses its HTTP status可能已有人在做 @aton-of-data 于 6 天前认领。 未关闭bug P2 ready for work T-security T-transport
难度 2/5 1-3 小时 新手友好度 68/100
modelcontextprotocol/rust-sdk#1339 ·
维护者通常 2 天内回复
-
auth: refresh_token() requests offline_access that was never granted, so refreshes fail with invalid_scope可能已有人在做 @jstar0 于 9 天前认领。 未关闭bug P1 ready for work T-security T-transport
难度 2/5 1-3 小时 新手友好度 65/100
modelcontextprotocol/rust-sdk#1330 ·
维护者通常 2 天内回复
-
P3 question Stale T-documentation T-enhancement
难度 1/5 1 小时以内 新手友好度 86/100
modelcontextprotocol/rust-sdk#1155 · 1 条评论 ·
维护者通常 2 天内回复
-
Streamable HTTP server answers a session-less non-initialize POST with 422, spec says 400可能已有人在做 @connor4312 今天认领。 未关闭bug P1 ready for work T-transport
modelcontextprotocol/rust-sdk#1376 · 1 条评论 · 已指派 1 人 ·
维护者通常 2 天内回复
-
outputSchema is generated for the deserialize contract; tool results are serialised可能已有人在做 @connor4312 于 1 天前认领。 未关闭bug P2 ready for work T-handler
modelcontextprotocol/rust-sdk#1374 · 1 条评论 · 已指派 1 人 ·
维护者通常 2 天内回复
查看 modelcontextprotocol/rust-sdk 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 76/100
维护者通常 1 天内回复
-
[Bug] ComponentType classifies 0x8A8A-0xEAEA as GREASE; mls-extensions §7.5 makes them private use未关闭
难度 2/5 1-3 小时 新手友好度 85/100
维护者通常 1 天内回复
-
area:ecosystem documentation
难度 2/5 1-3 小时 新手友好度 78/100
Chelis-Lang/chelis#3866 ·
维护者通常 1 天内回复
-
enhancement
难度 2/5 1-3 小时 新手友好度 68/100
metasequoiaime/msime#8620 ·
维护者通常 1 天内回复
-
agent-detection macos p2 triaged
难度 1/5 1 小时以内 新手友好度 90/100
维护者通常 1 天内回复