مسح الثنائيات المُولَّدة

يتحقّق فحص Binary-Artifacts في OpenSSF Scorecard من أن شجرة المصدر لا تحمل أي ثنائيات مُجمَّعة / مُحزَّمة / مُبهَمة. الثنائيات في المصدر غير قابلة للتدقيق وتوفّر موطئ قدم لهجمات سلسلة التوريد: إذ يُضمِّن الثنائي شيفرةً لا تُظهِرها شجرة المصدر، فلا يستطيع المراجعون فحصها قبل الدمج.

موقف Apothem من الثنائيات المُولَّدةCopy Anchor Link

Apothem هو شجرة مصدر Python صرفة بصفر ثنائيات مُجمَّعة أو مُحزَّمة أو مُبهَمة مُتتبَّعة في التحكّم بالإصدارات. والمستودع قابل للتدقيق من طرف إلى طرف انطلاقًا من المصدر.

منهجية المسحCopy Anchor Link

يُعدّد المسح أنواع الملفات التي يعتبرها Scorecard ثنائية، ثم يتحقّق من غياب كلٍّ منها عن التحكّم بالإصدارات:

أصناف الثنائيات المسموح بهاCopy Anchor Link

يُسمح في المصدر بصنفين ضيّقين من الثنائيات:

1. أصول العلامة — assets/*.png، assets/*.ico، assets/favicon.*. هذه قابلة لإعادة التوليد بشكل حتمي من النسخ الأصلية بصيغة SVG في assets/src/ عبر scripts/dev/rebuild-assets-resvg.py. يعامل Scorecard هذه الملفات بوصفها مشروعة وفق إعفائه image/png.
2. ملفات الخطوط — assets/fonts/*.ttf، assets/fonts/*.woff2. ملفات خطوط مُضمَّنة برخص موثَّقة؛ وفق إعفاء font/* في Scorecard.

كلا الصنفين موثَّق في site/content/docs/brand/index.mdx، ومنشأهما مُسجَّل في وصفة إعادة بناء الأصول.

أمر التحقّقCopy Anchor Link

# من جذر مستودع apothem:
git ls-files | grep -E '\.(exe|dll|so|dylib|bin|o|a|lib|jar|war|ear|whl|egg|class|pyc|pyo|crt|pem|key|p12|pfx)$'

ينبغي أن يُعيد هذا الاستدعاء صفر أسطر. النتيجة غير الفارغة تدلّ على أن ثنائيًّا مُولَّدًا قد تُتبِّع في المصدر — وهو اكتشاف بخطورة عالية يحجب الإصدار التالي.

إيقاع التدقيقCopy Anchor Link

يُعدّ المسح جزءًا من:

• نقطة تفتيش لكل إصدار — يتحقّق دليل هندسة الإصدار من المسح قبل وسم الإصدار.
• تشغيل Scorecard الأسبوعي — يعيد سير عمل OpenSSF Scorecard تأكيد نجاح الفحص.

مراجعCopy Anchor Link

• OpenSSF Scorecard — فحص Binary-Artifacts
• .gitignore الخاص بـApothem — قائمة الرفض التي تمنع إدخال الثنائيات بالخطأ