‏امتیاز امنیتی Plumb حالا کنار پلاگین‌های Filament

دایرکتوری پلاگین‌های Filament (یه فریم‌ورک ساخت پنل ادمین برای لاراول) از ۱۰۰۰ پلاگین کامیونیتی رد شده و تیم Filament می‌گه وقتشه درباره‌ی امنیت این پلاگین‌ها جدی‌تر حرف بزنیم. نویسنده تأکید می‌کنه که هیچ متریکی جای خوندن کد خود پکیج رو نمی‌گیره. ولی نشونه‌های دیگه‌ای هم هست، مثل security advisoryهای فعال یا PRهای Dependabot که مدت‌ها باز موندن. مشکل اینه که چک کردن دستی این لیست طولانیه و راحت یه موردش یادت می‌ره.

برای همین Filament بی‌سروصدا با Plumb یکپارچه شده. Plumb ابزاریه که Kevin Ullyott نوشته و پکیج‌های PHP رو خودکار اسکن می‌کنه. نتیجه‌ی همه‌ی بررسی‌هاش رو هم توی یه عدد خلاصه می‌کنه که سطح ریسک نصب اون پکیج رو نشون می‌ده. حالا این امتیاز موقع گشتن و جستجو، کنار هر پلاگین تو دایرکتوری دیده می‌شه.

تو صفحه‌ی جزئیات هر پلاگین هم یه بخش «Package health» اضافه شده. این بخش امتیاز سه دسته‌ی امنیت، نگهداری و اکوسیستم رو جدا نشون می‌ده و می‌گه کدوم‌یکی از ۱۵ بررسی pass، fail یا skip شده. یعنی اگه امتیاز یه پلاگین پایینه، دقیقاً می‌فهمی چرا.

برای نگهدارنده‌ها هم کار ساده‌ست. اگه پلاگینت عمومی و توی دایرکتوریه، Plumb همین الان داره اسکنش می‌کنه. اگه پلاگین پولی و خصوصی داری، باید حساب GitHub‌ت رو به Plumb وصل کنی. Plumb جدا از Filament هم حدود ۱۷۰ هزار پکیج Packagist رو دنبال می‌کنه و اگه پکیجت تو لیست نباشه، می‌شه از سایتش درخواست اسکن داد.

اگه امتیازت کمتر از ۱۰۰ شد، به گفته‌ی نویسنده جای نگرانی نیست. با کلیک روی هر بررسی توضیح می‌گیری که چرا pass یا fail شده. مثلاً بررسی «GitHub Actions pinned to SHA» نشون می‌ده actionهای شخص ثالث توی workflowها به یه commit SHA مشخص قفل شدن یا نه. هر بررسی یه صفحه‌ی آموزشی کامل هم داره که می‌گه چرا مهمه و چطور درستش کنی.

نکات کلیدی:

• دایرکتوری پلاگین‌های Filament از ۱۰۰۰ پلاگین کامیونیتی رد شده.
• Plumb هر پکیج رو با ۱۵ بررسی در سه دسته‌ی امنیت، نگهداری و اکوسیستم امتیاز می‌ده.
• امتیاز Plumb تو لیست پلاگین‌ها و جزئیاتش تو بخش Package health نمایش داده می‌شه.
• پلاگین‌های پولی و خصوصی برای اسکن باید حساب GitHub رو به Plumb وصل کنن.
• Plumb حدود ۱۷۰ هزار پکیج Packagist رو خودکار دنبال می‌کنه.