OpenSSF Scorecard

前端项目依赖了许多公开包，但“没有已知漏洞”并不代表依赖仓库的发布和维护流程足够安全。OpenSSF Scorecard 根据公开仓库和工作流信息检查一组供应链安全信号，例如分支保护、危险 GitHub Actions、依赖更新、代码审查、令牌权限和发布流程。

它适合用于挑选关键依赖、建立内部依赖准入清单和定期复核高风险仓库。评分是风险信号，不是安全认证：公开信息缺失、项目使用其他 CI 平台、评分规则变化或仓库规模差异，都可能影响结果。低分项目不一定包含恶意代码，高分也不能证明某个版本没有漏洞。

接入 CI 时应锁定工具版本、记录评分规则和目标提交，避免同一个仓库的历史结果无法比较。对关键依赖还要结合锁文件来源、发布包完整性、许可证、维护者变更、实际调用路径和人工代码审查。不要因为评分高就自动执行依赖的安装脚本或授予生产密钥。

本次核对 Scorecard 仓库 LICENSE 为 Apache-2.0，可免费运行和查看其开源工具与规则，包括商业项目中的使用；分发或修改仍需遵守许可要求。本条不包含商业供应链审计、托管构建或漏洞修复服务。使用时遵守目标仓库和平台的访问限制，不把私有仓库源码、令牌或内部配置发送到公共服务。