是否可以在公共git存储库中提出机密问题？

Question

我想将公共和私人问题都保留在团队的github存储库中。 我宁愿某些问题不仅仅对我的团队开放给其他人。

Answer 1

您不能。 GitHub (still) does not support Confidential Issues。对于想要使用GitHub Issues跟踪安全性错误或记录包含PII的错误注释的开源项目来说，这是一个主要问题。

GitLab, however, does。

我的建议是使用在GitHub存储库中创建公开问题，但标题和描述带有任意或变相的特征，并在非公开商店（例如托管的Bugzilla）中添加引用同一机密问题的标签/元数据-您也可以使用他们的webhooks和事件系统在两者之间建立双向集成。

Answer 2

新的Security Advisory功能是讨论和解决机密安全问题的一种巧妙方法。您可以创建一个机密的安全建议草案（在“安全性”选项卡中）以讨论该问题，并在机密分支中详细说明解决方案。您可以根据需要发布最终建议，甚至可以分配CVE编号。