gitリポジトリ内の大きなパッケージが安全であることを確認するにはどうすればよいですか？

具体的には、次のプロパティを持つemacs helmを調べています。

• 何千ものコミットがあります
• それは主に一人のユーザーによって維持されています
• メンテナは他のプロフィール（ソーシャルメディアなど）を持っていません。いくつかの検索で見つけることができました
• 活発に維持されている（今日）

テキストエディタで使用するためにコンピュータに任意のコードをインストールしようとしているので、これがレビュープロセスを経ているかどうかを確認したいと思いました。私は「まあ、それはオープンソースだ」と言いたいのですが、私は自分ですべてのコードを監査するelisp機能からはほど遠いです。コミュニティの他の人がそれをレビューしたと思いますが、1つはおそらく誤りであり、2つは最新のコミットがあります。私が見逃している他の戦略はありますか？

記録に関しては、ベクトルは単純です。コントリビュータが使い捨てのアカウントで作業している場合、またはレビュープロセスがない場合、「オープンソース」はそれほど重要ではありません。

簡単に言えば、自分でコードを読み通さない限り、信頼を得ることができます。上流のSCMから供給されたプロジェクトを信頼することは、たとえばEmacs Wikiから直接プルされたプロジェクトよりも少し安全であると述べました。ただし、基本的には、パッケージの作成者が悪魔にならず、Emacsセッションで任意のコードを実行する機能を悪用しないことを信頼しています。

あなたがより安全に感じるかもしれないいくつかの事柄があります：

• 人気のパッケージにこだわる

人気のあるパッケージは自動的に詳細を取得しませんが、ユーザー数が多いという事実は、悪意のある動作が影響を受ける前に検出される可能性が高まることを意味します。

• コードメトリックを確認する

github では、プロジェクトの貢献履歴をかなりよく見ることができます。主要な作者が幅広い作者を持つコミットの大部分を行ったとしても、コードの安定性と有効性に積極的な関心を持つ他の人々がいることを示しています。

• HEADを追跡するリポジトリ（MELPA）または未審査の提出を許可するリポジトリ（Marmalade）よりもGNU ELPAおよびMELPA Stableを優先する

最先端に生きることは、最新の光沢のある機能を求めている人にとっては一定の魅力がありますが、それはあなたがあなたの環境への最新のコミットを最初に受け入れるかもしれないことを意味します。たとえ悪意がなくても、「公式」リリースはある種の大雑把なレビューを受けていたとしても、パッケージが流動的な状態になる可能性があります。たとえば、GNU ELPAパッケージは、コミット権限を持つemacs-develユーザーのみがコミットします。

最終的には、たとえそれが概念実証の実験にすぎない場合でも、パッケージシステムを介したセキュリティ違反がいつか発生することは間違いありません。これが、定期的なバックアップに依存する必要があるポイントとなるでしょう。