Most Teams Just Turned Spectral On and Stopped There

A census of 1,005 public GitHub repositories running Spectral in CI/CD pipelines reveals that 63% use only the default ruleset with no custom rules — meaning most teams are running a linter's factory settings and calling it governance. The data shows widespread issues: tooling pinned to floating versions, linting running post-merge instead of on PRs, 13% using continue-on-error so failures never block builds, and only 2 out of 1,000 pipelines scoring 6/8 on a maturity rubric. The author argues that default rulesets cause harm by flooding mature APIs with noise, manufacturing governance skeptics. The rare bright spots — like Italian public-sector repos pulling from a centrally-maintained national API guidelines project — show what real governance looks like: shared, versioned, owned rulesets wired as PR gates. A companion HTML report tool (reporter.apicommons.org) is introduced to make Spectral JSON output human-readable. The core argument: even the mechanical, automatable quarter of governance is thin almost everywhere, which means the harder people-and-process work has mostly not happened either.

Nguồn: https://apievangelist.com/2026/07/08/most-teams-just-turned-spectral-on-and-stopped. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

StepSecurity1 Hot5 phút16 giờ trướcAI

GitHub Secret Scanning Public Monitoring for Enterprises: Coverage and Gaps

GitHub triển khai tính năng public monitoring cho Secret Scanning, giám sát toàn bộ bề mặt công khai của github.com (bao gồm nội dung git, pull request, issues) để phát hiện các bí mật doanh nghiệp bị rò rỉ theo thời gian thực, nhưng vẫn tồn tại những hạn chế như không phát hiện được bí mật bị đánh cắp tới hạ tầng kiểm soát của kẻ tấn công, không quét logs workflow, và chỉ phát hiện sau khi xảy ra sự cố. Doanh nghiệp nên kết hợp tính năng này với các biện pháp kiểm soát egress runtime (như Harden-Runner) để ngăn chặn rò rỉ bí mật ngay từ lớp mạng.

Lập trình viên nên đọc bài này để hiểu cách bảo mật các mã nguồn công khai trên GitHub bị lộ thông qua các công cụ mới và hạn chế của chúng, giúp họ xây dựng chiến lược phòng thủ đa lớp (layered defense) hiệu quả hơn.