ossf/scorecard-action

【主题】

让开源供应链安全检查，从“事后人工扫描”变成“提交即知”的自动化流程，把安全评分嵌入开发者的日常工作流。

【核心分点总结】

1. 原生集成 — 无需额外安装工具链，在 GitHub Actions 中只需几行 YAML 即可触发评分，让安全评估与 CI/CD 无缝衔接。

2. 透明评分 — 基于 OpenSSF Scorecard 的多维指标（依赖更新、代码审查、CI 测试、分支保护等），将仓库安全实践量化为 0-10 分，并输出可读报告，消除安全“黑盒”。

3. 责任可控 — 默认支持内部结果暂存与公开输出两种模式，既可在合并前检视又不误伤下游信任，把安全评估的控制权还给项目维护者。

4. 供应链联动 — 评分可生成签名的 Provenance 证明，并借助 OpenSSF 官方签名和 Sigstore 实现结果不可篡改，为依赖链上的每个仓库提供可信快照。

【行动指南】

1. 用在哪里：当你维护开源库，且需要向用户证明“我的仓库安全实践达标”时；或你在审计大量上游依赖，想快速生成可比较的安全成绩单。

2. 怎么上手：在 .github/workflows/ 中新建一个 workflow 文件，粘贴官方示例，只需填 repository name 和设置触发条件（如 PR 或定时运行）。第一次运行后，在 Actions 标签页就能看到评分卡，并可以把它嵌入仓库 README 作为安全徽章。

3. 进阶玩法：将评分与 branch protection 规则结合——设置最低分数线，低于阈值自动阻止合并；或在发布工作流中强制要求达到目标分数，否则阻断发布。

【金句总述]

“安全不再是期末大考，而是每一次 push 后自动亮起的一盏绿灯。”

【故事性收尾】

以前，每次发布前你都要紧张地打开 README，担心“这个依赖最近有没有人维护？分支保护开没开？CI 是否跑得过”。仓库越大，恐惧越深。

现在，你提交了代码，几分钟后 Scorecard 徽章安静地变成了 9.2。你合上笔记本，知道世界因为你的仓库又少了一个被忽略的漏洞。这不是魔杖，但足以让你睡个好觉。