gh-safe-repo

Crie repositórios GitHub com padrões seguros aplicados, em um único comando.

gh-safe-repo create <owner/repo>

A proteção de branches, as tags imutáveis, o bloqueio das Actions, o Dependabot, a verificação de segredos com proteção no push e o relato privado de vulnerabilidades estão todos configurados antes de você fazer o primeiro commit. A mesma ferramenta audita e corrige repositórios que você já tem, e verifica o código local em busca de segredos antes que ele saia da sua máquina.

Status: o fluxo de trabalho principal é estável e verificado de ponta a ponta, mas a CLI ainda está sendo aprimorada. Espere mudanças interruptivas ocasionais antes da 1.0.

Conteúdo

• O que você obtém
• Instalação
• Início rápido
• Comandos
• Referência da CLI
• Saída — tabela de plano, JSON, verificação, códigos de saída
• Padrões seguros
• Enviando código — --local e --from
• Scanner de pré-verificação
• Configuração
• Limitações do plano do GitHub
• Uso com um agente de IA
• Como funciona
• Desenvolvimento

O que você obtém

Os padrões do GitHub favorecem a descoberta em vez da segurança: um novo repositório não tem proteção de branch, não tem Dependabot e tem Actions que podem escrever no repositório e aprovar seus próprios pull requests. O gh-safe-repo muda isso e mostra o plano antes de tocar em qualquer coisa:

• Privado por padrão. Use --public para torná-lo público.
• Proteção de branch. PR obrigatório, uma revisão de aprovação, revisões obsoletas descartadas, conversas resolvidas, sem force pushes, sem exclusão de branch.
• Tags imutáveis. As tags de release não podem ser reescritas ou excluídas.
• Actions bloqueadas. Token somente leitura, sem PRs com autoaprovação, actions fixadas por SHA, apenas publicadores pertencentes ao GitHub e verificados.
• Dependabot ativado. Alertas de vulnerabilidade mais PRs de correção automáticos.
• Verificação de segredos com proteção no push. Commits contendo segredos suportados são bloqueados.
• Relato privado de vulnerabilidades. Pesquisadores podem entrar em contato com você de forma privada.
• Verificação de segredos de pré-verificação. Ao enviar código existente, a árvore de trabalho e o histórico do git são verificados localmente primeiro.
• Extras opcionais. Wiki, projetos e issues são deixados de lado, a menos que você os gerencie na configuração.

Todas as configurações são configuráveis. Consulte Padrões seguros para os valores exatos e Configuração para saber como alterá-los.

Instalação

Requisitos:

• Python 3.10+
• gh CLI autenticado (gh auth login), ou GITHUB_TOKEN definido no ambiente
• uv para instalar a partir do código-fonte
• truffleHog v3 (opcional) para o scanner de pré-verificação. Ele é encontrado no PATH ou executado via podman/docker; sem nenhum dos dois, um scanner de regex é usado.

Enviar código com --local ou --from também exige suas credenciais git normais para o GitHub. Consulte Enviando código.

git clone https://github.com/AriESQ/gh-safe-repo
cd gh-safe-repo
uv tool install .
gh-safe-repo --help

Para executar sem instalar:

uv sync
./gh-safe-repo create <owner/repo>

Início rápido

1. Pré-visualização. --dry-run não faz chamadas de API e não cria nada.

$ gh-safe-repo create AriESQ/demo-repo --dry-run

Configuring AriESQ/demo-repo...

Planned Changes
Type    Category           Setting                                 Value / Note
------  -----------------  --------------------------------------  ----------------------------------------------------------------
ADD     repo               repository                              AriESQ/demo-repo
DELETE  file               readme                                  README.md
UPDATE  actions            allowed_actions                         'all' → 'selected'
UPDATE  actions            verified_allowed                        False → True
UPDATE  actions            sha_pinning_required                    False → True
UPDATE  actions            default_workflow_permissions            'write' → 'read'
UPDATE  actions            can_approve_pull_request_reviews        True → False
SKIP    branch_protection  branch_protection                       Branch protection requires a public repo or paid GitHub plan
SKIP    security           dependabot_alerts                       Requires a public repo or paid GitHub plan
SKIP    security           secret_scanning                         Requires a public repo or paid GitHub plan
SKIP    security           dependabot_security_updates             Requires a public repo or paid GitHub plan
SKIP    security           private_vulnerability_reporting         Requires a public repo or paid GitHub plan
SKIP    security           enable_dependency_graph                 Requires a public repo or paid GitHub plan
SKIP    security           enable_secret_scanning_push_protection  Requires a public repo or paid GitHub plan
SKIP    tag_protection     tag_protection                          Tag protection rulesets require a public repo or paid GitHub plan

7 change(s) to apply, 8 skipped

Dry run — no changes made.

As linhas SKIP são o que um repositório privado num plano gratuito parece. Esses recursos exigem um repositório público ou um plano pago, e a ferramenta informa isso em vez de falhar silenciosamente. Consulte Limitações do plano do GitHub.

2. Aplicar. Remova --dry-run. Você vê o mesmo plano e, em seguida, um prompt de confirmação (--yes o ignora).

gh-safe-repo create AriESQ/demo-repo

3. Comece a trabalhar. Em caso de sucesso, você obtém uma seção Verified (cada configuração lida de volta do GitHub) e um banner com comandos prontos para colar:

╭─ Done ───────────────────────────────────────────────────╮
│   Repository created successfully!                       │
│   https://github.com/AriESQ/demo-repo                    │
│                                                          │
│   Add remote to existing repo:                           │
│   SSH  : git remote add origin [email protected]:AriESQ/…   │
│   HTTPS: git remote add origin https://github.com/…      │
│                                                          │
│   Clone fresh:                                           │
│   SSH  : git clone [email protected]:AriESQ/demo-repo.git   │
│   HTTPS: git clone https://github.com/AriESQ/demo-…      │
╰──────────────────────────────────────────────────────────╯

Seu protocolo preferido (gh config get -h github.com git_protocol) é listado primeiro.

Comandos

Criar um novo repositório

gh-safe-repo create <owner/repo>            # private (default)
gh-safe-repo create <owner/repo> --public   # public: branch and tag protection apply

O repositório é inicializado para que exista um branch padrão (a proteção de branch precisa de um), e então o README.md gerado automaticamente é excluído para que você comece do zero. Defina auto_init = true na configuração para mantê-lo. O proprietário deve corresponder à sua conta autenticada; isso protege contra erros em sistemas com múltiplas contas.

Enviar um projeto local existente

gh-safe-repo create <owner/repo> --local ~/projects/myapp