modonome

Проекты, которые следуют приведенным ниже лучшим практикам, могут добровольно и самостоятельно оценить себя и продемонстрировать, что они получили значок Open Source Security Foundation (OpenSSF).

Не существует набора практик, гарантирующего, что у программного обеспечения никогда не будет недостатков или уязвимостей; даже формальные методы могут не помочь, если спецификации или допущения ошибочны. Также не существует какой-либо практики, которая могла бы гарантировать, что проект будет поддерживать здоровое и хорошо функционирующее сообщество разработчиков. Однако следующие хорошие правила могут помочь улучшить результаты проектов. Например, некоторые правила описывают ревью несколькими участниками перед выпуском, что может помочь найти технические уязвимости, которые было бы сложно найти другим способом, и помочь построить доверие и желание дальнейшего взаимодействия между разработчиками из разных компаний. Чтобы получить значок, нужно выполнить все критерии с ключевыми словами "НЕОБХОДИМО"/"ОБЯЗАН"/"НЕДОПУСТИМО", все критерии со словом "СЛЕДУЕТ" либо должны удовлетворяться, либо должно быть приведено обоснование их невыполнения, и все критерии со словом "ЖЕЛАТЕЛЬНО" могут быть удовлетворены ИЛИ неудовлетворены (желательно, чтобы они были хотя бы рассмотрены). Если вы хотите ввести общий комментарий вместо объяснения, почему текущая ситуация приемлема, начните текст с '//' и пробела. Приветствуется обратная связь через сайт на GitHub в виде issues или pull requests. Существует также список рассылки для общих вопросов.

Мы с удовольствием предоставляем информацию на нескольких языках, однако, если есть какой-либо конфликт или несоответствие между переводами, английская версия является авторитетной.
Если это ваш проект, пожалуйста, покажите свой значок на странице проекта! Статус значка выглядит следующим образом: Уровень значка для проекта 13362 - in_progress Вот как вставить его:
Вы можете показать свой статус значка, вставив его в файл с разметкой Markdown:
[![OpenSSF Best Practices](https://www.bestpractices.dev/projects/13362/badge)](https://www.bestpractices.dev/projects/13362)
- или HTML:
<a href="https://www.bestpractices.dev/projects/13362"><img src="https://www.bestpractices.dev/projects/13362/badge"></a>


Это критерии уровня Gold. Вы также можете просмотреть критерии уровня Passing или Silver.

Baseline Series: Базовый уровень 1 Базовый Уровень 2 Базовый Уровень 3

        

 Основы 0/5

  • Общая

    Обратите внимание, что другие проекты могут использовать то же имя.

    Governed autonomy for software repositories. An off-by-default autonomous engineer that adopts a repo's rules, proposes small reviewable changes, and structurally prevents autonomous agents from gaming quality gates by running the enforcement ratchet in CI outside the agent's write scope.

    Используйте формат выражения лицензии SPDX; примеры включают «Apache-2.0», «BSD-2-Clause», «BSD-3-Clause», «GPL-2.0+», «LGPL-3.0+», «MIT» и «(BSD-2-Clause OR Ruby)».
    Если используется более одного языка, перечислите их через запятую (пробелы необязательны), и отсортируйте их от наиболее до наименее используемого. Если список длинный, пожалуйста, перечислите по крайней мере три наиболее распространенных. Если языка нет (например, это проект только для документации или только для тестирования), используйте один символ «-» (минус). Для каждого языка используйте общепринятую капитализацию названия, например «JavaScript».
    Common Platform Enumeration (CPE) - это структурированная схема именования для информационных систем, программного обеспечения и пакетов. Она используется в ряде систем и баз данных для отчетов об уязвимостях.

    Modonome is a prompt plus a set of enforcing scripts with zero runtime npm dependencies. It ships with AgentProof, a portable 16-scenario adversarial benchmark that machine-verifies all governance controls hold under attack (scoring 16/16 GOVERNED). Every arming lever defaults to off; autonomy cannot be enabled from a file the agent can write. The project targets teams that want to run autonomous coding agents under provable governance constraints rather than prompt-only promises.

  • Предварительные требования


    Проект ОБЯЗАН получить серебряный значок. [achieve_silver]

  • Надзор за проектом


    Проект ОБЯЗАН иметь «коэффициент автобуса» 2 или более. (Требуется URL) [bus_factor]
    «Коэффициент автобуса» (или «коэффициент грузовика») - это минимальное количество участников проекта, которые должны внезапно исчезнуть из проекта («попасть под автобус»), чтобы проект заглох из-за отсутствия квалифицированного или компетентного персонала. Инструмент truck-factor может оценить это для проектов на GitHub. Для получения дополнительной информации см. статью Cosentino et al. Assessing the Bus Factor of Git Repositories.


    Проект ОБЯЗАН иметь как минимум двух несвязанных значительных соавторов. (Требуется URL) [contributors_unassociated]
    Соавторы связаны, если они оплачиваются работой одной и той же организации (как работник или подрядчик), и организация может выиграть от результатов проекта. Финансовые гранты не считаются находящимися в одной организации, если они проходят через другие организации (например, гранты на науку, выплачиваемые различным организациям из общего правительства или источника НПО, не приводят к тому, что вкладчики могут быть связаны). Соавтор считается значительным, если за последний год он(а) внес(ла) заметный вклад в проект. Примерами хороших показателей значительного соавтора являются: написано не менее 1000 строк кода, внесено 50 коммитов или предоставлено не менее 20 страниц документации.

  • Другое


    Проект ОБЯЗАН указывать лицензию в каждом исходном файле. Это МОЖЕТ быть сделано путем включения в комментарий рядом с началом каждого файла следующей строки: SPDX-License-Identifier: [SPDX-выражение лицензии для проекта]. [license_per_file]
    Это МОЖЕТ также быть сделано путем указания лицензии на естественном языке. Проект МОЖЕТ также включать стабильный URL-адрес, указывающий на текст лицензии, или полный текст лицензии. Обратите внимание, что критерий license_location требует помещать лицензию проекта в стандартном расположении. См. этот учебник SPDX для получения дополнительных сведений об SPDX-выражениях лицензии. Обратите внимание на связь с критерием copyright_per_file, содержимое для которого обычно предшествует информации о лицензии.

 Управление изменениями 1/4

  • Публичное хранилище исходного кода с поддержкой версий


    Хранилище проектного исходного кода ОБЯЗАНО использовать типовое ПО для распределенного управления версиями (например, git или mercurial). [repo_distributed]
    Не требуется именно git, и проекты могут использовать централизованное программное обеспечение для управления версиями (например, Subversion) с обоснованием.

    Repository on GitHub, which uses git. git is distributed.



    Проект ОБЯЗАН четко обозначать небольшие задачи, которые могут быть выполнены новыми или случайными участниками. (Требуется URL) [small_tasks]
    Это обозначение обычно делается путем маркировки выбранных проблем в трекере одним или несколькими тегами, которые использует проект для этой цели, например up-for-grabs, «только для новичков», «Небольшое исправление», «микрозадача» или IdealFirstBug. Эти новые задачи не обязательно требуют добавления функциональности; это может быть улучшение документации, добавление тестовых кейсов или что-то еще, что помогает проекту и помогает участнику лучше понять проект.


    Проект ОБЯЗАН требовать двухфакторной аутентификации (ДФА) от разработчиков для изменения центрального хранилища или доступа к конфиденциальным данным (например, приватным отчетам об уязвимостях). Этот механизм ДФА МОЖЕТ использовать механизмы без криптографической защиты, такие как SMS, хотя это не рекомендуется. [require_2FA]


    При двухфакторной аутентификации (ДФА) проекту СЛЕДУЕТ использовать криптографические механизмы для предотвращения имперсонации. ДФА на основе службы коротких сообщений (SMS) сама по себе НЕ соответствует этому критерию, поскольку короткие сообщения не шифруются. [secure_2FA]
    Механизм ДФА, который соответствует этому критерию, может быть приложением для генерации временных одноразовых паролей (Time-based One-Time Password, TOTP), которое автоматически генерирует код аутентификации, меняющийся через определенный промежуток времени. Обратите внимание, что GitHub поддерживает TOTP.

 Качество 2/7

  • Стандарты кодирования


    Проект ОБЯЗАН документировать свои требования по ревью кода, в том числе, как проводится ревью кода, что необходимо проверять и что необходимо для приемлемости кода. (Требуется URL) [code_review_standards]
    См. также критерии two_person_review и contrib_requirements.


    Проект ОБЯЗАН проводить проверку не менее 50% всех предлагаемых модификаций до их попадания в выпуск человеком, отличным от автора, для определения того, являются ли эти модификации целесообразными и не содержат ли известных проблем, препятствующих включению. [two_person_review]

  • Рабочая система сборки


    Проект ОБЯЗАН обеспечивать воспроизводимую сборку. Если сборка не требуется (например, в случае языков сценариев, где исходный код используется непосредственно вместо компиляции), выберите «N/A». (Требуется URL) [build_reproducible]
    Воспроизводимая сборка означает, что несколько сторон могут независимо повторить процесс генерации информации из исходных файлов и получить аналогичный результат с точностью до бита. В некоторых случаях воспроизводимости можно достичь путем принудительного выставления окружения. Разработчики JavaScript могут рассмотреть возможность использования npm shrinkwrap и webpack OccurenceOrderPlugin. Пользователи GCC и clang могут найти полезной опцию -frandom-seed. Среда сборки (включая набор инструментов) часто может быть определена для внешних сторон путём указания криптографической суммы (hash) для конкретного контейнера или виртуальной машины, которые они могут использовать для пересборки. В проекте Reproducible Builds есть документация о том, как это сделать.

  • Набор автотестов


    Набор тестов ОБЯЗАН запускаться стандартным способом для этого языка. (Требуется URL) [test_invocation]
    Например, «make check», «mvn test» или «rake test» (Ruby).

    Modonome is a Node.js/JavaScript project. The standard way to invoke tests in Node.js projects is:

    npm test
    Modonome Implementation:

    In package.json:

    "test": "node --test tests/*.test.mjs"
    This follows the Node.js standard convention:

    npm test is the standard npm command for running tests
    Uses Node.js built-in test runner (node --test) - the native, FLOSS testing approach
    No external test framework required (no Jest, Mocha, or other dependencies)
    Standard Invocation:

    npm test # Runs the standard test suite
    npm run verify # Comprehensive verification (includes tests + other checks)
    Documentation:

    README.md (line 192): Documents npm run verify which includes tests
    CONTRIBUTING.md (lines 14-20): "Local checks: npm run verify"
    package.json: Shows npm test script for direct test execution
    This follows the npm/Node.js standard where npm test is the conventional way to run tests for JavaScript projects, exactly as specified in the npm documentation.

    URL: https://github.com/nateshpp/modonome/blob/main/package.json



    Проект ОБЯЗАН реализовать непрерывную интеграцию, при которой новый или измененный код интегрируется в центральное хранилище кода, и на получившейся базе кода запускаются автоматические тесты. (Требуется URL) [test_continuous_integration]
    В большинстве случаев это означает, что каждый разработчик, занимающийся проектом полный рабочий день, интегрируется, по крайней мере, ежедневно.

    Justification:

    Modonome implements a comprehensive continuous integration (CI) system:

    1. Central Repository:

    GitHub repository: https://github.com/nateshpp/modonome
    All code changes integrated through pull requests
    2. Automated CI Pipeline (.github/workflows/ci.yml):

    Runs on every push to main and all pull requests:

    jobs:
    verify:
    - Drift guard validation
    - Style check (from trusted base-branch copy)
    - Automated tests (npm test)
    - Published artifact verification
    - AgentProof governance benchmark (16/16 scenarios)

    ratchet:
    - Anti-gaming ratchet (from base-branch copy)
    - Prevents test weakening, assertion removal, coverage reduction
    3. Required Checks Before Merge:

    ✅ All status checks must pass
    ✅ Code owner review required (CODEOWNERS)
    ✅ Branch protection enforced on main
    ✅ Tests cannot be merged if weakened
    4. Frequent Integration:

    Recent commits: June 25, 2026 (within 5 days)
    Recent merged PRs: #9 and #10 (2026-06-25)
    Active development cycle with regular integrations
    5. Test Automation Coverage:

    npm run check:drift # Config consistency
    npm run check:style # Code formatting
    npm test # Unit tests
    npm run agentproof # Governance benchmark (16/16)
    npm pack --dry-run # Artifact verification
    6. CI/CD Documentation:

    GitHub Actions Workflow: .github/workflows/ci.yml
    Status Badges: README.md displays CI status
    Branch Protection Rules: Enforced on GitHub
    Evidence:

    README.md line 28: CI badge showing status
    .github/workflows/ci.yml: Complete workflow configuration
    Recent PR merges showing automated test passage
    Required checks preventing merge of failing tests
    URL: https://github.com/nateshpp/modonome/blob/main/.github/workflows/ci.yml

    This is a fully-implemented CI/CD system where code changes are automatically tested on integration, meeting and exceeding the "SUGGESTED" criterion.



    Проект ОБЯЗАН иметь автоматические тестовые пакеты на СПО, которые обеспечивают покрытие не менее 90% инструкций кода, если есть хотя бы один инструмент на СПО, который может измерять этот критерий на выбранном языке. [test_statement_coverage90]


    Проект ОБЯЗАН иметь автоматические тестовые пакеты на СПО, которые обеспечивают покрытие не менее 80% веток кода, если есть хотя бы один инструмент на СПО, который может измерять этот критерий на выбранном языке. [test_branch_coverage80]

 Безопасность 0/5

  • Основы правильного использования криптографии

    Обратите внимание, что некоторое ПО не нуждается в использовании криптографических механизмов.

    В ПО, создаваемом проектом, НЕОБХОДИМО поддерживать безопасные протоколы для всех сетевых коммуникаций, такие как SSHv2 или новее, TLS1.2 или новее (HTTPS), IPsec, SFTP и SNMPv3. По умолчанию НЕОБХОДИМО отключать небезопасные протоколы, такие как FTP, HTTP, telnet, SSLv3 или более ранние версии, и SSHv1, и разрешать их только в том случае, если пользователь явным образом это задаёт. Если программное обеспечение, созданное проектом, не поддерживает сетевые коммуникации, выберите «неприменимо» (N/A). [crypto_used_network]


    Если ПО, создаваемое проектом, поддерживает или использует TLS, НЕОБХОДИМО поддерживать как минимум версию TLS 1.2. Примечание: предшественник TLS называется SSL. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). [crypto_tls12]

  • Доставка, защищенная от атак посредника (MITM)


    Веб-сайт проекта, репозиторий (если он доступен через Интернет) и сайт загрузки (если он существует отдельно) ОБЯЗАНЫ использовать упрочняющие безопасность (hardening) заголовки с неразрешающими значениями. (Требуется URL) [hardened_site]
    Обратите внимание, что GitHub отвечает этому критерию. Такие сайты как https://securityheaders.io/ могут быстро проверить использование. Ключевыми заголовками для упрочнения являются: Content Security Policy (CSP), HTTP Strict Transport Security (HSTS), X-Content-Type-Options (выставленный в «nosniff»), X-Frame-Options и X-XSS-Protection. Статические веб-сайты без возможности входа в систему через веб-страницы могут опускать упрочняющие HTTP-заголовки CSP и X-XSS-Protection, поскольку в этом случае эти заголовки менее эффективны.

  • Другие вопросы безопасности


    Проект ОБЯЗАН иметь проверку безопасности за последние 5 лет. При проверке НЕОБХОДИМО учитывать требования и границы безопасности. [security_review]
    Эта оценка МОЖЕТ быть выполнена членами проекта и/или независимо. Эта оценка МОЖЕТ подкрепляться инструментами статического и динамического анализа, но кроме этого должна быть проверка человеком для выявления проблем (особенно в дизайне), которые инструменты не могут обнаружить.


    В ПО, создаваемом проектом, НЕОБХОДИМО использовать механизмы упрочнения безопасности (hardening), чтобы дефекты программного обеспечения с меньшей вероятностью приводили к уязвимостям в безопасности. (Требуется URL) [hardening]
    Механизмы упрочнения могут включать HTTP-заголовки, такие как Content Security Policy (CSP), флаги компилятора для противостояния атакам (например, -fstack-protector) или флаги компилятора, устраняющие неопределенное поведение. Для наших целей политика наименьших привилегий не считается механизмом упрочнения (использовать наименьшие достаточные привилегии важно, но этому посвящён отдельный критерий).

 Анализ 2/2

  • Динамический анализ кода


    Проект ОБЯЗАН применять хотя бы один инструмент динамического анализа к любой предлагаемой основной версии ПО, создаваемого проектом до её выпуска. [dynamic_analysis]
    Инструмент динамического анализа проверяет программное обеспечение, выполняя его с конкретными входными данными. Например, проект МОЖЕТ использовать инструмент фаззинг-тестирования (например, American Fuzzy Lop) или сканер веб-приложений (например, OWASP ZAP или w3af). В некоторых случаях проект OSS-Fuzz может быть готов применить фаззинг-тестирование к вашему проекту. Для целей этого критерия инструмент динамического анализа должен каким-то образом варьировать исходные данные, чтобы искать проблемы разного рода или быть автоматическим набором тестов с покрытием веток исполнения не менее 80%. Страница Википедии о динамическом анализе и cтраница OWASP о фаззинг-тестировании указывают некоторые инструменты динамического анализа. Использование инструмента/ов анализа МОЖЕТ, но не обязано быть сосредоточено на поиске уязвимостей в безопасности.

    Yes - Comprehensive automated test suite, but coverage not measured

    Dynamic Analysis Infrastructure:

    1. Automated Test Suite (11 test files)

    The project has extensive dynamic analysis through automated testing:

    tests/cli-dispatch.test.mjs - CLI command routing
    tests/arming.test.mjs - Arming/autonomy enablement
    tests/metrics.test.mjs - Metrics tracking
    tests/tick.test.mjs - Tick/iteration logic
    tests/run-log.test.mjs - Execution logging
    tests/prompt.test.mjs - Prompt composition
    tests/ratchet.test.mjs - Anti-gaming ratchet
    tests/packet.test.mjs - Knowledge packet handling
    tests/config.test.mjs - Config validation & migration
    tests/dry-run.test.mjs - Dry-run execution
    tests/e2e.test.mjs - End-to-end scenarios
    Total: 1,142 lines of test code

    1. Test Coverage Examples

    From tests/config.test.mjs:

    Valid config validation
    Invalid config rejection
    Safe template defaults verification
    Work-item schema validation
    YAML parser edge cases
    Migration path testing
    Arming logic (env var + config requirements)
    CLI dispatch routing
    Dry-run functionality
    3. Test Execution in CI/CD

    From package.json:

    "test": "node --test tests/*.test.mjs"
    "verify": "npm run check:drift && npm run check:style && npm test && npm run agentproof"
    All tests must pass before merge.

    1. Node.js Native Test Runner

    Using node:test (Node.js native, no external dependencies):

    import { test } from "node:test";
    import assert from "node:assert/strict";
    Gap: Code Coverage Not Measured

    ⚠️ Missing Coverage Tool - No code coverage measurement configured:

    No nyc (Istanbul)
    No c8 (V8 coverage)
    No coverage threshold enforcement
    This means:

    Tests are running dynamically with varied inputs ✅
    But we cannot verify the 80% branch coverage threshold ❓
    Recommendation to Fully Satisfy [dynamic_analysis]:

    Add code coverage measurement with c8:

    npm install --save-dev c8
    Update package.json:

    {
    "scripts": {
    "test": "node --test tests/.test.mjs",
    "test:coverage": "c8 --all --lines=80 --branches=80 node --test tests/
    .test.mjs"
    }
    }
    Then run in CI to verify 80%+ coverage:

    npm run test:coverage
    Assessment:

    ✅ Dynamic Analysis Present - Comprehensive automated test suite with 1,142 lines of test code
    ✅ Tests Execute with Varied Inputs - Tests exercise valid/invalid configs, CLI commands, arming logic, migrations
    ⚠️ Coverage Not Verified - Without coverage tool, cannot confirm 80%+ branch coverage threshold

    Summary:

    The project has excellent dynamic analysis through automated testing. Adding a code coverage tool (c8 or nyc) with an 80% threshold would formally satisfy this SUGGESTED criterion and provide confidence in test effectiveness.



    Проекту СЛЕДУЕТ включать достаточно много утверждений (assertions) времени выполнения в создаваемом им ПО и проверять эти утверждения во время динамического анализа. [dynamic_analysis_enable_assertions]
    Этот критерий не предполагает включения утверждений на этапе эксплуатации; решение об этом полностью лежит на проекте и его пользователях. Вместо этого критерий направлен на улучшение обнаружения ошибок во время динамического анализа перед развертыванием. Использование утверждений при эксплуатации полностью отличается от такового во время динамического анализа (например, при тестировании). В некоторых случаях включать утверждения при эксплуатации крайне неразумно (особенно в компонентах с высокой степенью целостности). Существует множество аргументов против включения утверждений в выпускаемых сборках: например, библиотеки не должны вызывать сбой при вызове, присутствие утверждений может привести к отклонению магазинами приложений и/или активация их при рабочем использовании может привести к раскрытию частных данных, таких как закрытые ключи. Помните, что во многих дистрибутивах Linux NDEBUG не определен, поэтому C/C++assert() в таких рабочих средах по умолчанию будет включен. Может быть важно использовать другой механизм утверждений или определить NDEBUG для эксплуатации в этих средах.

    Answer: Yes - Comprehensive assertions enabled during testing, disabled in production

    Assertion Usage in Testing:

    1. Strict Assertion Mode

    All test files use Node.js strict assertions:

    import assert from "node:assert/strict";
    From tests/config.test.mjs:

    assert.deepEqual(validateConfig(readJson(f)), [], expected valid: ${f});
    assert.ok(validateConfig(readJson(f)).length > 0, expected invalid: ${f});
    assert.equal(cfg.autonomy_enabled, false);
    assert.equal(cfg.dry_run, true);
    assert.equal(cfg.auto_merge, false);
    2. Assertion Types in Use

    assert.equal(actual, expected, message) // Strict equality
    assert.deepEqual(actual, expected, message) // Deep equality (objects/arrays)
    assert.ok(value, message) // Truthy check
    assert.throws(fn, error, message) // Exception thrown
    assert.doesNotThrow(fn, message) // No exception thrown
    3. Coverage Areas with Assertions

    From test files:

    Config validation: Valid/invalid configurations tested with deep equality checks
    Arming logic: Strict checks on autonomy enablement conditions
    CLI dispatch: Assertions on command routing
    Template defaults: Verification that safe defaults are in place
    Migrations: Path validation and state assertions
    Schema compliance: Work-item validation with detailed assertions
    4. Test Execution Configuration

    From package.json:

    "test": "node --test tests/*.test.mjs"
    Node.js runs tests with full assertion checking enabled. No production assertions means:

    Testing: ✅ All assertions active
    Production: ✅ No assertion overhead
    5. Strict Mode for Maximum Fault Detection

    Using assert/strict (not assert) provides:

    Stricter equality comparisons
    Better error messages
    Fails immediately on assertion failure
    This maximizes fault detection during dynamic analysis.

    Production Separation:

    The project cleanly separates testing from production:

    Context Assertions Configuration
    Testing ✅ Full assertions node:assert/strict
    Production ✅ None No assertion imports
    Source code No assertions Pure functional logic
    Assessment:

    ✅ Assertions Enabled in Dynamic Analysis - Comprehensive strict assertions in all 11 test files
    ✅ Disabled in Production - No assertion overhead in production code
    ✅ 1,142 Lines of Assertion Tests - Extensive fault detection during testing
    ✅ Zero Production Risk - Assertions only in test files, never in shipped code

    Summary:

    The project excels at this SUGGESTED criterion. It uses strict Node.js assertions extensively during dynamic analysis (testing) while keeping production code clean of assertion overhead. This enables maximum fault detection during testing without impacting production performance or reliability.



Эти данные доступны по лицензии Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Это означает, что получатель данных может распространять данные с изменениями или без них, при условии, что получатель данных предоставляет текст данного соглашения вместе с распространяемыми данными. Пожалуйста, укажите в качестве источника nateshpp и участников OpenSSF Best Practices badge.

Владелец анкеты на значок проекта: nateshpp.
2026-06-24 16:08:26 UTC, последнее изменение сделано 2026-06-30 14:05:18 UTC.