SafePack
Tách policy có thể thực thi khỏi phân tích tư vấn để review supply chain vẫn giải thích được khi bằng chứng chưa đầy đủ.
- Lifecycle script
- Quyền workflow
- Kiểm tra lockfile và artifact
- Bản ghi OSV
- Tín hiệu provenance
- Reputation và ghi chú review
Bằng chứng hỗ trợ reviewer nhưng không âm thầm ghi đè policy.
Bối cảnh
Review trước khi tin cậy
Cài dependency hoặc dùng workflow có thể chạy mã với quyền developer hay CI. SafePack thử tạo một ranh giới review trước khi cài bình thường, đồng thời thừa nhận inspection không thể chứng minh an toàn.
Quyết định
Policy trước phán đoán được tạo ra
Thiết kế giữ outcome allow, warn, block có tính xác định. Reputation, provenance, vulnerability record và generated summary tương lai có thể hỗ trợ reviewer nhưng không âm thầm ghi đè policy.
Hệ thống
Một bề mặt review được đề xuất
Prototype công khai kết hợp phân tích package, scan lockfile, kiểm tra chữ ký và OSV, so sánh artifact, audit workflow, accepted-risk baseline, exit code rõ ràng và nhiều định dạng report.
Bằng chứng
Bằng chứng repository, không phải chứng minh production
Repository chứa source, fixture, test và tài liệu bảo mật. Portfolio chủ động không gọi prototype là đã verified vì owner-run build và smoke-test suite chưa hoàn tất.
Kết quả
Kết quả đạt được
- Repository mô tả CLI giai đoạn 1 cho review package, lockfile, artifact, OSV và workflow.
- Thiết kế giữ quyết định allow, warn, block có tính xác định, còn generated summary chỉ mang tính tư vấn.
- Threat model và tài liệu giới hạn nằm trong phạm vi công khai của prototype.
Ranh giới
Giới hạn đã biết
- Chủ dự án chưa build và smoke-test độc lập repository trong vòng review portfolio này.
- Dự án không chứng minh package hoặc workflow đã review là an toàn.
- Reproducible-build verification và sandbox validation rộng hơn nằm ngoài phạm vi hiện tại.
Nguồn gốc bằng chứng
Sổ bằng chứng
Mã nguồn công khai
Repository chứa mã prototype, fixture, test, threat model và tài liệu policy được mô tả.
Xem nguồnRanh giới kiểm chứng
Trạng thái vẫn là Research Prototype cho đến khi hoàn tất owner-run build, unit suite và smoke test lành tính/đối kháng.
Công nghệ
Công nghệ sử dụng
- TypeScript
- Node.js
- Docker
- OSV
- GitHub Actions