OSS Audit — скилл
Скилл оценивает GitHub-проект глазами стороннего контрибьютора: как принимают чужие PR, как быстро отвечают, где можно помочь.
- 93 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Скилл читает через `gh` данные с правами вашей учетной записи, включая метаданные приватных репозиториев, и сохраняет их в отчет.
- Тексты обсуждений из чужих репозиториев попадают в контекст агента, защита от внедрения инструкций держится на самом агенте.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add skills/oss-auditОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Скилл читает через `gh` данные с правами вашей учетной записи, включая метаданные приватных репозиториев, и сохраняет их в отчет.
- Тексты обсуждений из чужих репозиториев попадают в контекст агента, защита от внедрения инструкций держится на самом агенте.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
OSS Audit запускает сборщик на Python, работающий только на чтение,, который через `gh` читает pull request репозитория за выбранное окно (по умолчанию 90 дней). Сборщик считает долю слитых чужих PR, время до слияния или закрытия, выборку ответов мейнтейнеров и PR, висящие без движения. Затем агент по `SKILL.md` читает реальные обсуждения и файлы с правилами проекта и пишет отчет, где факты, выводы и неизвестное разделены. На выходе три файла: `raw.json`, `report.json` и `report.md`. Оценка 0–100 необязательна: при малой выборке или неполной выгрузке баллы не ставятся.
Для кого. Разработчику, который выбирает проект с открытым кодом для первого pull request и не хочет тратить недели на репозиторий, где чужие правки висят месяцами.
Подходит, если
- Перед первым PR в незнакомый репозиторий надо понять, принимают ли там правки со стороны.
- Два проекта на выбор, и их сравнивают по одному окну в 90 дней.
- Хочется увидеть, как мейнтейнеры отвечают на обращения и закрывают PR, а не только число звезд.
- Команда решает, в какую зависимость вкладывать силы.
Не подходит, если
- Нужен готовый рейтинг проектов: баллы здесь эвристика и при малой выборке не ставятся.
- За окно у репозитория почти нет PR, и статистика получится пустой.
- Репозиторий приватный, а отчет с его метаданными нельзя хранить на диске.
Пример запроса к агенту
Оцени owner/repo для внешнего контрибьютора: покажи долю слитых чужих PR, время реакции и один минимальный шаг для входа в проект.Ограничения
Для сборщика нужны Python 3.10 и новее, GitHub CLI и вход через `gh auth login`. Признак «внешний автор» берется из `authorAssociation` и не подтверждает, что человек не сотрудник. Доля слитых PR считается только по обработанным, висящие в знаменателе не участвуют. При упоре в лимит страниц (по умолчанию 10 по 100 PR) выгрузка помечается как `partial`, скорость и баллы не считаются; для больших репозиториев добавляйте `--max-pages 50`. Скилл читает чужие тексты обсуждений: запрет исполнять из них команды держится на агенте и не гарантирует защиту от внедрения инструкций через текст, о чем прямо сказано в README.
Как отключить. Удалите папку скилла `oss-audit` из каталога навыков агента, например `.claude/skills/oss-audit` в проекте или `~/.claude/skills/oss-audit`. Каталоги с отчетами удалите отдельно.
Частые вопросы
Как запустить сборщик без агента?
Выполните `python3 scripts/collect.py owner/repo --days 90 --output /tmp/my-oss-audit`. Каталог вывода не должен существовать. Есть и обертка `bash collect.sh owner/repo`.
Меняет ли скилл что-то на GitHub?
Нет. Сборщик работает только на чтение: не оставляет комментарии, не создает обращения и форки, не отправляет отчет третьим лицам.
Почему отчет иногда без оценки?
При малой выборке или усеченной выгрузке баллы не ставятся. Скрипт сам дает не больше 75 баллов из 100, остальное добавляет ручной разбор общения и правил проекта.
Можно ли сравнить два проекта?
Да. Попросите агента взять для `owner/repo-a` и `owner/repo-b` одно и то же окно в 90 дней и указать охват выборки, а не просто ранжировать по баллам.
Нужны ли права администратора на репозиторий?
Нет, хватает обычного чтения через `gh`.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
СкиллыНавык с четырьмя скриптами для gh отдает агенту состояние PR, ветки ревью и сбои CI одним вызовом и коротким выводом.
Скилл OpenClaw разбирает проект GitHub по многим источникам: суть, здоровье, лучшие обращения, конкуренты и мнение сообщества
kyy-logs code-review-skill
code-review-skill
Скилл ревью кода: четыре независимых прохода, замечания с доказательствами и допуск к слиянию из JSON
Скилл разбирает архитектуру открытого проекта и сводит результат в один Markdown-отчет с диаграммами Mermaid и сравнением с аналогами
Двадцать скиллов для чтения чужого кода, ревью документов и коммитов, перевода Markdown и спецификаций на OpenSpec
73 скилла для конвейера разработки: план, код, ревью и QA, а в конце готовый PR с метками в вашем репозитории.
Коротко о README
В README два режима: независимый сборщик и скилл для качественного разбора. Основной текст на китайском, есть английский раздел. Отдельно указаны границы метода и меры против внедрения инструкций из чужих текстов.