boost

Los proyectos que siguen las mejores prácticas a continuación pueden autocertificarse voluntariamente y demostrar que han obtenido una insignia de mejores prácticas de Open Source Security Foundation (OpenSSF).

No existe un conjunto de prácticas que pueda garantizar que el software nunca tendrá defectos o vulnerabilidades; incluso los métodos formales pueden fallar si las especificaciones o suposiciones son incorrectas. Tampoco existe ningún conjunto de prácticas que pueda garantizar que un proyecto mantenga una comunidad de desarrollo saludable y que funcione bien. Sin embargo, seguir las mejores prácticas puede ayudar a mejorar los resultados de los proyectos. Por ejemplo, algunas prácticas permiten la revisión por parte de múltiples personas antes del lanzamiento, lo que puede ayudar a encontrar vulnerabilidades técnicas que de otro modo serían difíciles de encontrar y ayudar a generar confianza y un deseo repetido de interacción entre desarrolladores de diferentes compañías. Para obtener una insignia, se deben cumplir todos los criterios DEBE y NO DEBE, se deben cumplir, así como todos los criterios DEBERÍAN deben cumplirse o ser justificados, y todos los criterios SUGERIDOS se pueden cumplir o incumplir (queremos que se consideren al menos). Si desea añadir texto como justificación mediante un comentario genérico, en lugar de ser un razonamiento de que la situación es aceptable, comience el bloque de texto con '//' seguido de un espacio. Los comentarios son bienvenidos a través del sitio de GitHub mediante "issues" o "pull requests". También hay una lista de correo electrónico para el tema principal.

Con mucho gusto proporcionaríamos la información en varios idiomas, sin embargo, si hay algún conflicto o inconsistencia entre las traducciones, la versión en inglés es la versión autorizada.
Si este es su proyecto, por favor muestre el estado de su insignia en la página de su proyecto. El estado de la insignia se ve así: El nivel de insignia para el proyecto 14275 es silver Aquí se explica cómo insertarla:
Puede mostrar el estado de su insignia insertando esto en su archivo markdown:
[![OpenSSF Best Practices](https://www.bestpractices.dev/projects/14275/badge)](https://www.bestpractices.dev/projects/14275)
o insertando esto en su HTML:
<a href="https://www.bestpractices.dev/projects/14275"><img src="https://www.bestpractices.dev/projects/14275/badge"></a>


Estos son los criterios de nivel Oro. También puede ver los criterios de nivel Básico o Plata.

Baseline Series: Nivel Base 1 Nivel Base 2 Nivel Base 3

        

 Fundamentos 3/5 ●

  • General

    Tenga en cuenta que otros proyectos pueden usar el mismo nombre.

    Package manager for AI coding skills — search, install, and sync SKILL.md skills across Claude Code, Windsurf, and Cursor

    Por favor use formato de expresión de licencia SPDX; los ejemplos incluyen "Apache-2.0", "BSD-2-Clause", "BSD-3-Clause", "GPL-2.0+", "LGPL-3.0+", "MIT" y "(BSD-2-Clause OR Ruby)". No incluya comillas simples o comillas dobles.
    Si hay más de un lenguaje, enumérelos como valores separados por comas (los espacios son opcionales) y ordénelos de más a menos usado. Si hay una lista larga, por favor enumere al menos los tres primeros más comunes. Si no hay lenguaje (por ejemplo, este es un proyecto solo de documentación o solo de pruebas), use el carácter único "-". Por favor use una capitalización convencional para cada lenguaje, por ejemplo, "JavaScript".
    La Common Platform Enumeration (CPE) es un esquema de nomenclatura estructurado para sistemas de tecnología de la información, software y paquetes. Se utiliza en varios sistemas y bases de datos al reportar vulnerabilidades.

  • Prerrequisitos


    ¡Suficiente para una insignia!

    El proyecto DEBE lograr una insignia de nivel plata. [achieve_silver]

  • Supervisión del proyecto


    No es suficiente para una insignia.

    El proyecto DEBE tener un "bus factor" de 2 o más. (URL requerida) [bus_factor]
    Un "factor de autobús" (también conocido como "factor de camión") es el número mínimo de miembros del proyecto que tienen que desaparecer repentinamente de un proyecto ("ser atropellados por un autobús") antes de que el proyecto se paralice debido a la falta de personal conocedor o competente. La herramienta truck-factor puede estimar esto para proyectos en GitHub. Para más información, ver Assessing the Bus Factor of Git Repositories de Cosentino et al.

    https://github.com/jonnyeclectic/boost/blob/main/MAINTAINERS.md documents this directly. Answered honestly: boost has one maintainer today, so the bus factor is 1 rather than 2 or more, and MAINTAINERS.md says so in its own words - 'boost is a single-maintainer project today... it is the single largest risk to the project' - rather than implying a team that does not exist.

    What exists instead of a second maintainer, from https://github.com/jonnyeclectic/boost/blob/main/GOVERNANCE.md and the Continuity section of MAINTAINERS.md: the project is GPL-3.0 with full public history, so anyone may fork it; every published release remains available and nothing expires if no one logs in; every artifact is reproducible from a public tag and carries a SLSA build-provenance attestation; and the release path is a GitHub OIDC identity bound to the repository rather than a personal token, so there is no private credential that would have to be recovered or handed over. Continuity therefore does not depend on reaching one person.

    MAINTAINERS.md also documents the route to appointing a second maintainer - track record, public review before the grant, least privilege at the grant, and the file updated in the same change - and explicitly invites it. This will be re-answered as Met when a second maintainer is appointed.


    No es suficiente para una insignia.

    El proyecto DEBE tener al menos dos contribuidores significativos no asociados. (URL requerida) [contributors_unassociated]
    Los contribuidores están asociados si son pagados para trabajar por la misma organización (como empleado o contratista) y la organización se beneficia de los resultados del proyecto. Las subvenciones financieras no cuentan como ser de la misma organización si pasan a través de otras organizaciones (por ejemplo, las subvenciones científicas pagadas a diferentes organizaciones de una fuente gubernamental o de ONG común no hacen que los contribuidores estén asociados). Alguien es un contribuidor significativo si ha hecho contribuciones no triviales al proyecto en el último año. Ejemplos de buenos indicadores de un contribuidor significativo son: haber escrito al menos 1,000 líneas de código, haber contribuido 50 commits, o haber contribuido al menos 20 páginas de documentación.

    boost has one maintainer, so significant contributions come from one person and there cannot be two contributors from unassociated employers. MAINTAINERS.md states this plainly rather than implying a committee: https://github.com/jonnyeclectic/boost/blob/main/MAINTAINERS.md — same single fact as bus_factor and two_person_review. It is a recruiting problem, not a configuration one.


  • Otro


    ¡Suficiente para una insignia!

    El proyecto DEBE incluir una declaración de licencia en cada archivo fuente. Esto PUEDE hacerse incluyendo lo siguiente dentro de un comentario cerca del comienzo de cada archivo: SPDX-License-Identifier: [expresión de licencia SPDX para el proyecto]. [license_per_file]
    Esto también PUEDE hacerse incluyendo una declaración en lenguaje natural que identifique la licencia. El proyecto también PUEDE incluir una URL estable que apunte al texto de la licencia, o el texto completo de la licencia. Tenga en cuenta que el criterio license_location requiere que la licencia del proyecto esté en una ubicación estándar. Vea este tutorial de SPDX para obtener más información sobre expresiones de licencia SPDX. Observe la relación con copyright_per_file, cuyo contenido típicamente precedería la información de la licencia.

    The next line of each of those 314 files is # SPDX-License-Identifier: GPL-3.0-only. -only rather than -or-later because nothing in the repository — LICENSE, pyproject.toml, README or any source file — grants "or any later version", and SPDX renders a stated GPLv3 with no later-version clause as -only. A test asserts LICENSE still contains no such grant, so the expression cannot quietly become wrong. https://github.com/jonnyeclectic/boost/blob/main/scripts/add_spdx_headers.py


 Control de cambios 3/4 ●

  • Repositorio público para el control de versiones de código fuente


    Información requerida desconocida, no es suficiente para una insignia.

    El repositorio de código fuente del proyecto DEBE usar un software de control de versiones distribuido común (por ejemplo, git o mercurial). [repo_distributed]
    Git no se requiere específicamente y los proyectos pueden usar un software de control de versiones centralizado (como subversion) con justificación.

    git.

    Advertencia: Requiere justificación más extensa.


    ¡Suficiente para una insignia!

    El proyecto DEBE identificar claramente tareas pequeñas que puedan ser realizadas por contribuyentes nuevos o casuales. (URL requerida) [small_tasks]
    Esta identificación típicamente se hace marcando issues seleccionados en un rastreador de issues con una o más etiquetas que el proyecto usa para el propósito, por ejemplo, up-for-grabs, first-timers-only, "Small fix", microtask, o IdealFirstBug. Estas nuevas tareas no necesitan implicar agregar funcionalidad; pueden ser mejorar la documentación, agregar casos de prueba, o cualquier otra cosa que ayude al proyecto y ayude al contribuyente a entender más sobre el proyecto.

    CONTRIBUTING.md § Good first tasks names five standing starter tasks, each with the exact file to edit: add a registry to the catalog (scripts/build_registries.py), add a query to the retrieval golden set (tests/eval/golden.jsonl), teach the prose linter a word (.vale accept.txt), sharpen a command summary (COMMANDS in boost_cli/cli.py), and cover a branch nothing tests. They are standing rather than one-off on purpose, so a newcomer can start without waiting for an issue to be triaged; specific one-off tasks carry the good first issue label. https://github.com/jonnyeclectic/boost/blob/main/CONTRIBUTING.md#good-first-tasks


    ¡Suficiente para una insignia!

    El proyecto DEBE requerir autenticación de dos factores (2FA) para desarrolladores para cambiar un repositorio central o acceder a datos sensibles (como informes de vulnerabilidad privados). Este mecanismo 2FA PUEDE usar mecanismos sin mecanismos criptográficos como SMS, aunque eso no se recomienda. [require_2FA]

    GitHub requires 2FA as of March 2023. [osps_ac_01_01]


    ¡Suficiente para una insignia!

    La autenticación de dos factores (2FA) del proyecto DEBERÍA usar mecanismos criptográficos para prevenir la suplantación de identidad. La 2FA basada en el Servicio de Mensajes Cortos (SMS), por sí sola, NO cumple este criterio, ya que no está cifrada. [secure_2FA]
    Un mecanismo 2FA que cumpla con este criterio sería una aplicación de Contraseña de Un Solo Uso Basada en Tiempo (TOTP) que genera automáticamente un código de autenticación que cambia después de un cierto período de tiempo. Tenga en cuenta que GitHub soporta TOTP.

    The maintainer's second factor is a passkey — FIDO2/WebAuthn. The authenticator signs a challenge bound to the origin, so there is no shared secret to phish, replay or intercept, and it is not a plaintext channel the way SMS is. That is the strongest of the mechanisms this criterion accepts. Recorded in https://github.com/jonnyeclectic/boost/blob/main/docs/openssf-badge.md — which also notes that this answer was obtained by asking the maintainer rather than inferred from GitHub's 2FA mandate, since that mandate is satisfied by SMS.


 Calidad 4/7 ●

  • Estándares de codificación


    ¡Suficiente para una insignia!

    El proyecto DEBE documentar sus requisitos de revisión de código, incluyendo cómo se lleva a cabo la revisión de código, qué debe verificarse, y qué se requiere para que sea aceptable. (URL requerida) [code_review_standards]
    Vea también two_person_review y contribution_requirements.

    https://github.com/jonnyeclectic/boost/blob/main/docs/code-review.md documents how review is conducted (the gate runs first, read the description as release notes, read the diff against the claim, look for the test that would have caught it, comment rather than silently fix), a table of what must be checked (layering, stdlib-only runtime, blast radius on $HOME, sparse checkouts, generated files, claims, security surface, tests, sign-off), and the six conditions that make a change acceptable. It opens by stating the single-maintainer shape rather than describing a review process the project does not have.


    No es suficiente para una insignia.

    El proyecto DEBE tener al menos el 50% de todas las modificaciones propuestas revisadas antes del lanzamiento por una persona distinta del autor, para determinar si es una modificación valiosa y libre de problemas conocidos que argumentarían en contra de su inclusión [two_person_review]

    boost has one maintainer (MAINTAINERS.md states this plainly rather than implying a committee), so there is no non-author human who could approve a change. The main branch ruleset requires a pull request and requires 21 named status checks to pass before merging, but it cannot require an approval that nobody is available to give. This is the same single fact behind the OpenSSF passing-level two_person_review, bus_factor and contributors_unassociated criteria, all also answered Unmet. It is a recruiting problem rather than a configuration one, and configuring a second account to supply the approval would defeat the criterion rather than satisfy it. https://github.com/jonnyeclectic/boost/blob/main/docs/code-review.md [osps_qa_07_01]


  • Sistema de construcción funcional


    No es suficiente para una insignia.

    El proyecto DEBE tener una construcción reproducible. Si no ocurre construcción (por ejemplo, lenguajes de scripting donde el código fuente se usa directamente en lugar de ser compilado), seleccione "no aplicable" (N/A). (URL requerida) [build_reproducible]
    Una construcción reproducible significa que múltiples partes pueden rehacer independientemente el proceso de generar información desde archivos fuente y obtener exactamente el mismo resultado bit por bit. En algunos casos, esto puede resolverse forzando algún tipo de orden. Los desarrolladores de JavaScript pueden considerar usar npm shrinkwrap y webpack OccurrenceOrderPlugin. Los usuarios de GCC y clang pueden encontrar útil la opción -frandom-seed. El entorno de construcción (incluido el conjunto de herramientas) a menudo puede definirse para partes externas especificando el hash criptográfico de un contenedor o máquina virtual específicos que pueden usar para reconstruir. El proyecto de construcciones reproducibles tiene documentación sobre cómo hacer esto.

    Measured rather than assumed. With SOURCE_DATE_EPOCH set, two builds of one commit produce a bit-identical wheel but a differing source distribution: setuptools writes each tar member's real mtime plus the builder's uid, gid and user name into the sdist, so 54 members differ between builds two seconds apart, and the gzip header carries its own timestamp. Two things are missing — the release workflow installs its build tooling unpinned, and the sdist needs its timestamps and ownership normalised. Full measurement and the commands to reproduce it: https://github.com/jonnyeclectic/boost/blob/main/docs/verifying-releases.md#can-you-rebuild-it-yourself-partly--the-measurement — N/A would be wrong, since boost ships wheels.


  • Suite de pruebas automatizadas


    Información requerida desconocida, no es suficiente para una insignia.

    Una suite de pruebas DEBE ser invocable de una manera estándar para ese lenguaje. (URL requerida) [test_invocation]
    Ejemplos: "make check", "mvn test" o "rake test".

    'make test'. Alternatively 'nox', which reproduces the exact CI gate in isolated venvs across every supported interpreter, so green locally and green in CI mean the same thing.

    Advertencia: Se requiere URL, pero no se encontró ninguna URL.


    ¡Suficiente para una insignia!

    El proyecto DEBE implementar integración continua, donde el código nuevo o modificado se integra frecuentemente en un repositorio de código central y se ejecutan pruebas automatizadas sobre el resultado. (URL requerida) [test_continuous_integration]
    En la mayoría de los casos, esto significa que cada desarrollador que trabaja a tiempo completo en el proyecto se integra al menos diariamente.

    GitHub Actions runs the full gate on every push and every pull request: https://github.com/jonnyeclectic/boost/actions/workflows/ci.yml


    ¡Suficiente para una insignia!

    El proyecto DEBE tener suite(s) de pruebas automatizadas FLOSS que proporcionen al menos 90% de cobertura de sentencias si hay al menos una herramienta FLOSS que pueda medir este criterio en el lenguaje seleccionado. [test_statement_coverage90]

    95.2% statement coverage of boost_cli, measured on the unit and functional suites alone — no smoke suite, no BDD suite — so the real figure is higher. It is enforced, not merely asserted: fail_under in pyproject.toml was raised from 80 to 90 in the same change, and coverage.py's blended statement+branch figure at that point was 94.04%. Green on ubuntu, macOS and Windows across Python 3.12, 3.13 and 3.14. https://github.com/jonnyeclectic/boost/blob/main/pyproject.toml


    ¡Suficiente para una insignia!

    El proyecto DEBE tener suite(s) de pruebas automatizadas FLOSS que proporcionen al menos 80% de cobertura de ramas si hay al menos una herramienta FLOSS que pueda medir este criterio en el lenguaje seleccionado. [test_branch_coverage80]

    90.8% branch coverage, from that same run. branch = true is now set in [tool.coverage.run], which is what makes the number exist at all — before this change branch coverage had never been measured, so the figure could not be checked by anyone including the project. https://github.com/jonnyeclectic/boost/blob/main/pyproject.toml


 Seguridad 3/5 ●

  • Use buenas prácticas criptográficas

    Tenga en cuenta que algunos programas de software no necesitan usar mecanismos criptográficos. Si su proyecto produce software que (1) incluye, activa o habilita funcionalidad de cifrado, y (2) podría ser liberado desde los Estados Unidos (EE.UU.) hacia fuera de los EE.UU. o a una persona que no sea ciudadana de los EE.UU., es posible que esté legalmente obligado a tomar algunos pasos adicionales. Típicamente esto solo implica enviar un correo electrónico. Para más información, consulte la sección de cifrado de Understanding Open Source Technology & US Export Controls.

    ¡Suficiente para una insignia!

    El software producido por el proyecto DEBE soportar protocolos seguros para todas sus comunicaciones de red, como SSHv2 o posterior, TLS1.2 o posterior (HTTPS), IPsec, SFTP y SNMPv3. Los protocolos inseguros como FTP, HTTP, telnet, SSLv3 o anterior, y SSHv1 DEBEN estar deshabilitados por defecto, y solo habilitados si el usuario lo configura específicamente. Si el software producido por el proyecto no soporta comunicaciones de red, seleccione "no aplicable" (N/A). [crypto_used_network]

    boost implements no network protocol of its own. Its network access is delegated entirely to git (for cloning tapped registries, over HTTPS or SSH) and to pip (for installation, over HTTPS); both use secure protocols by default and boost neither configures nor weakens them. No insecure protocol is supported or enabled anywhere, because no protocol is implemented at all.


    ¡Suficiente para una insignia!

    El software producido por el proyecto DEBE, si soporta o usa TLS, soportar al menos la versión 1.2 de TLS. Tenga en cuenta que el predecesor de TLS se llamaba SSL. Si el software no usa TLS, seleccione "no aplicable" (N/A). [crypto_tls12]

    boost does not implement or configure TLS. TLS is provided by git and by pip, which negotiate it themselves; boost passes no TLS options and cannot downgrade a version. The optional boost serve command binds a plain local HTTP listener for development on a trusted network and is documented as such rather than presented as a secure server.


  • Entrega garantizada contra ataques de hombre en el medio (MITM)


    No es suficiente para una insignia.

    El sitio web del proyecto, el repositorio (si es accesible a través de la web) y el sitio de descarga (si está separado) DEBEN incluir encabezados clave de endurecimiento con valores no permisivos. (URL requerida) [hardened_site]
    Tenga en cuenta que se sabe que GitHub y GitLab cumplen con esto. Sitios como https://securityheaders.com/ pueden verificar esto rápidamente. Los encabezados clave de endurecimiento son: Content Security Policy (CSP), HTTP Strict Transport Security (HSTS), X-Content-Type-Options (como "nosniff"), y X-Frame-Options. Los sitios web totalmente estáticos sin capacidad de iniciar sesión a través de las páginas web podrían omitir algunos encabezados de endurecimiento con menos riesgo, pero no hay una manera confiable de detectar tales sitios, por lo que requerimos estos encabezados incluso si son sitios totalmente estáticos.

    Required security hardening headers missing: https://jonnyeclectic.github.io/boost: content-security-policy, strict-transport-security, x-content-type-options, x-frame-options


  • Otros problemas de seguridad


    ¡Suficiente para una insignia!

    El proyecto DEBE haber realizado una revisión de seguridad dentro de los últimos 5 años. Esta revisión DEBE considerar los requisitos de seguridad y el límite de seguridad. [security_review]
    Esto PUEDE ser realizado por los miembros del proyecto y/o una evaluación independiente. Esta evaluación PUEDE estar respaldada por herramientas de análisis estático y dinámico, pero también debe haber una revisión humana para identificar problemas (particularmente en el diseño) que las herramientas no pueden detectar.

    https://github.com/jonnyeclectic/boost/blob/main/docs/security-design.md is that assessment. It identifies the most likely and impactful problems for a CLI that clones third-party repositories and writes files into the directories an AI agent reads - path traversal via attacker-controlled frontmatter, command injection through skill and tap names, archive extraction escapes, link following, untrusted deserialization, supply-chain and CI-action compromise - and pairs each with the mitigation in the codebase. It also states the residual risks plainly, including the most important one: boost can give provenance, integrity and a diff, but cannot vet what a skill instructs an agent to do. [osps_sa_03_01]


    Información requerida desconocida, no es suficiente para una insignia.

    Los mecanismos de endurecimiento DEBEN usarse en el software producido por el proyecto para que los defectos del software tengan menos probabilidades de resultar en vulnerabilidades de seguridad. (URL requerida) [hardening]
    Los mecanismos de endurecimiento pueden incluir encabezados HTTP como Content Security Policy (CSP), banderas de compilador para mitigar ataques (como -fstack-protector), o banderas de compilador para eliminar comportamiento indefinido. Para nuestros propósitos, el menor privilegio no se considera un mecanismo de endurecimiento (el menor privilegio es importante, pero separado).

    Hardening mechanisms appropriate to a Python CLI are used. The largest is structural: the runtime imports no third-party package at all, enforced by import-linter, so there is no dependency tree in which a defect could become a vulnerability. Beyond that: no shell is ever invoked (shell=True appears nowhere; every subprocess call is an argument vector), tap clones are sparse and cone-limited so a registry's non-Markdown payload is never even fetched, installed content carries a sha256 tripwire that can be promoted from advisory to binding (core/integrity.py), and boost never requests elevated privileges. In CI, every workflow declares a read-only default token with write scopes granted per job, actions are pinned to commit SHAs, and step-security/harden-runner audits egress. The docs site is static with no scripts requiring a relaxed policy.

    Advertencia: Se requiere URL, pero no se encontró ninguna URL.


 Análisis 2/2 ●

  • Análisis dinámico de código


    ¡Suficiente para una insignia!

    El proyecto DEBE aplicar al menos una herramienta de análisis dinámico a cualquier versión de producción principal propuesta del software producido por el proyecto antes de su lanzamiento. [dynamic_analysis]
    Una herramienta de análisis dinámico examina el software ejecutándolo con entradas específicas. Por ejemplo, el proyecto PUEDE usar una herramienta de fuzzing (por ejemplo, American Fuzzy Lop) o un escáner de aplicaciones web (por ejemplo, OWASP ZAP o w3af). En algunos casos, el proyecto OSS-Fuzz puede estar dispuesto a aplicar pruebas de fuzzing a su proyecto. Para los propósitos de este criterio, la herramienta de análisis dinámico necesita variar las entradas de alguna manera para buscar varios tipos de problemas o ser una suite de pruebas automatizada con al menos 80% de cobertura de ramas. La página de Wikipedia sobre análisis dinámico y la página de OWASP sobre fuzzing identifican algunas herramientas de análisis dinámico. La(s) herramienta(s) de análisis PUEDEN estar enfocadas en buscar vulnerabilidades de seguridad, pero esto no es obligatorio.

    https://github.com/jonnyeclectic/boost/blob/main/.github/workflows/fuzz.yml runs atheris (libFuzzer for Python) against the parsers over a target matrix, uploading any crashing input as an artifact. Beyond fuzzing, tests/smoke.sh drives the real binary end to end through 170 checks and the functional suite executes the CLI against a throwaway HOME.


    ¡Suficiente para una insignia!

    El proyecto DEBERÍA incluir muchas aserciones en tiempo de ejecución en el software que produce y verificar esas aserciones durante el análisis dinámico. [dynamic_analysis_enable_assertions]
    Este criterio no sugiere habilitar aserciones durante la producción; eso depende completamente del proyecto y sus usuarios decidir. El enfoque de este criterio es en cambio mejorar la detección de fallas durante el análisis dinámico antes del despliegue. Habilitar aserciones en el uso de producción es completamente diferente de habilitar aserciones durante el análisis dinámico (como las pruebas). En algunos casos, habilitar aserciones en el uso de producción es extremadamente imprudente (especialmente en componentes de alta integridad). Hay muchos argumentos contra habilitar aserciones en producción, por ejemplo, las bibliotecas no deberían bloquear a los llamadores, su presencia puede causar rechazo por las tiendas de aplicaciones, y/o activar una aserción en producción puede exponer datos privados como claves privadas. Tenga en cuenta que en muchas distribuciones de Linux NDEBUG no está definido, por lo que assert() de C/C++ estará habilitado por defecto para producción en esos entornos. Puede ser importante usar un mecanismo de aserción diferente o definir NDEBUG para producción en esos entornos.

    The test suites are assertion-driven and run with assertions enabled (never with -O), and pytest promotes DeprecationWarning raised inside boost_cli to a hard error, so a latent deprecation fails a run rather than scrolling past in the log.



Estos datos están disponibles bajo el Acuerdo de Licencia de Datos de la Comunidad – Permisivo, Versión 2.0 (CDLA-Permissive-2.0). Esto significa que un Destinatario de Datos puede compartir los Datos, con o sin modificaciones, siempre que el Destinatario de Datos ponga a disposición el texto de este acuerdo con los Datos compartidos. Por favor, acredite a Jonathan Reyes y a los colaboradores de la insignia de Mejores Prácticas de OpenSSF.

Entrada de insignia del proyecto propiedad de: Jonathan Reyes.
Entrada creada el 2026-08-28 13:39:22 UTC, última actualización el 2026-08-29 02:20:11 UTC. Última obtención de la insignia de nivel básico el 2026-08-28 14:27:12 UTC.