前言

随着开源软件在全球范围内的广泛应用，确保其安全性变得越来越重要。开源软件已经渗透到各个领域，成为许多企业、政府部门和个人的重要基础设施。然而，随着其使用范围的扩大，开源软件也面临着越来越多的安全威胁。黑客和网络犯罪分子不断寻找新的漏洞，以便利用这些开源系统进行攻击。为了有效地应对这些挑战，需要在全球范围内采取协同合作的措施，提高开源软件的安全性。

Open Source Security Foundation（开源软件安全基金会，简称 OpenSSF）正是为了应对这一挑战而诞生的。这个由 Linux 基金会支持的项目，致力于提升开源软件的安全性、可靠性和可持续性。为了实现这一目标，OpenSSF 推出了 Best Practices Badge Program（最佳实践徽章项目）。这个项目最初是在 CII 下开发的，但现在它是开源安全基金会（OpenSSF）最佳实践工作组（WG）的一部分。该项目最初的名称是 CII Best Practices badge，但现在是 OpenSSF 最佳实践徽章计划。

在这篇文章中，我们将详细介绍 OpenSSF 及其最佳实践徽章计划，探讨如何通过该计划帮助开源项目提高安全性。我们还将讨论如何为项目申请徽章，并了解徽章计划的不同级别和要求。最后，我们将强调开源社区成员对此项目的支持的重要性，以共同努力提高整个开源生态系统的安全性。

OpenSSF

OpenSSF（开放软件供应链安全基金会，Open Source Security Foundation）是一个跨行业的组织，致力于提升开源软件的安全性。该组织成立于2020年，由多家技术公司（包括谷歌、微软、IBM、GitHub、红帽等）联合发起，后来还吸引了许多其他公司和组织加入。OpenSSF的成立是为了解决开源软件生态系统中日益严重的安全挑战，旨在通过合作、教育、研究和最佳实践来增强开源软件的安全性。

OpenSSF的主要工作包括：

1. 提升开源软件供应链安全：OpenSSF 关注软件供应链安全，以降低供应链中的风险。这包括确保源代码、构建过程和分发渠道的安全性，从而防止恶意软件、后门和其他安全漏洞的入侵。
2. 促进开源安全最佳实践：OpenSSF 通过制定并推广开源安全最佳实践，帮助项目和组织提高安全性。这些实践涉及到软件开发生命周期的各个阶段，包括设计、编码、测试和部署。
3. 培训和教育：OpenSSF 提供培训和教育资源，以提高开发者和维护者在开源软件安全方面的意识和技能。这些资源包括在线课程、指南、最佳实践文档等。
4. 资助关键项目：OpenSSF 通过资助对开源安全具有重要意义的项目，以确保这些项目能够持续发展并得到适当的维护。这些项目可能包括基础设施项目、安全工具和研究项目等。
5. 研究和开发：OpenSSF 还支持安全研究和开发工作，以便持续改进和创新开源安全技术。

OpenSSF通过跨行业合作、教育、研究和资助等多种途径，致力于提高开源软件的安全性。OpenSSF 旨在实现更高效的协同和更强大的影响力，以应对开源软件安全面临的日益严峻的挑战。

什么是 OpenSSF 最佳实践徽章计划

最佳实践徽章项目旨在鼓励和协助开源项目遵循软件安全的最佳实践，受到 GitHub 上众多可获得的徽章系统的启发，发布了这个自愿、免费的自助认证项目，用户可以通过 Web 页面，根据填写每项最佳实践来快速完成对自己开源项目的评估，同时也为改进项目安全提供了引导与标准。徽章项目共有三个级别：PASSING（通过）、SILVER（银牌）和 GOLD（金牌），每个级别都有一定数量的安全要求。

徽章级别和要求

首先，您需要了解徽章项目的三个级别：PASSING（通过）、SILVER（银牌）和 GOLD（金牌），以及它们对应的安全要求。这些要求涵盖了诸如安全策略、版本控制、持续集成等多个方面。您可以通过访问 OpenSSF 最佳实践徽章项目的官方文档查看这些要求。

注册并关联项目

访问 OpenSSF 最佳实践徽章项目网站，使用 GitHub 账户或注册一个新帐户。完成注册后，登录您的帐户，点击 Get Your Badge Now!，如果你使用的是 GitHub 账户登录，则可以直接在 Select one of your GitHub repos 下拉框中选择你的项目。当然，也支持非 GitHub 平台的开源项目填写，只需按照要求填入 home page URL 和 version control repository 地址即可。

项目评估

提交后，你就会收到一封说明邮件，其中包含一些必要的说明以及用于继续评估你的开源项目的地址，接下来就是对你的开源项目自行自评了。

自评总共分为 Basics、Change Control、Reporting、Quality、Security、Analysis 6 个大类，Passing 级别有 67 个小项，Silver 是 55 个，Gold 是 23 个。表单会根据你 GitHub 项目的配置自动填写一部分内容，但不是 100% 准确，需要你根据项目的实际情况来填写内容，并将证明 URL 或说明补充在表单内，全部填写完成后点击 Submit(and exit) 完成内容的填写。

整个评估过程就像是一场体检，医生是项目维护者自己。对照这最佳实践列表一项项的检查，哪里有问题，哪里要改进，一目了然。而 OpenSSF 最佳实践徽章就是体检报告，直观的告诉你这个项目当前的安全健康状况。

展示徽章

OpenSSF 最佳实践徽章计划会提供徽章的图像和嵌入代码，以方便您在各种平台上展示徽章。在你的项目页面，点击 Show detailes，就会展示徽章的 Markdown 与 HTML 格式，你可以将相应的内容添加到项目的 README 文件、官方网站等地方，以展示项目遵循软件安全最佳实践的承诺。

请注意，随着项目的发展，您需要继续关注徽章要求，并确保您的项目始终符合这些要求。此外，您还可以将徽章作为激励，进一步提高项目的安全性性，以获得 SILVER（银牌）或 GOLD（金牌）的徽章。

结语

总之，OpenSSF 最佳实践徽章项目为开源项目提供了一个实用的框架，引导它们遵循软件安全的最佳实践。这个项目旨在提高整个开源生态系统的安全水平，让开源社区成为一个更加安全和可靠的环境。通过鼓励项目团队关注安全性、提供核心准则和明确的评估标准，这个项目有助于项目团队了解和遵循软件安全的最佳实践。

作为开源社区的一员，我们都应该关注并支持 OpenSSF 最佳实践徽章项目。我们鼓励项目团队积极参与该项目，以改进和提升自己的项目安全性。同时，我们也呼吁更多的组织、研究机构和个人参与到开源软件安全的倡导和推动中，共同努力，让我们的数字世界变得更加安全和可靠。