LinuxSkill - Сводки с прода и… on Telegram: “Чек-лист как проверить софт из чужой подборки На…”

Чек-лист как проверить софт из чужой подборки

На Хабре попалась подборка «Стек российского сисадмина в 2026». Идея хорошая, а вот что с ней делать дальше — вопрос. Такие списки выходят каждый год, и половина позиций в них кочует по инерции. Автор списал у прошлогоднего автора, а проект уже год как не двигается или тихо переехал на несвободную лицензию.

Вот шесть проверок, которые снимают вопрос за десять минут. До того, как ты выкатишь это в прод.

1. Паспорт репозитория


R=zabbix/zabbix
curl -s "https://api.github.com/repos/$R" \
  | jq '{pushed_at, archived, license: .license.spdx_id}'

Три поля решают почти всё. archived: true — проект заморожен официально, дальше можно не смотреть.

2. Сколько на самом деле прошло с последнего пуша


P=$(curl -s "https://api.github.com/repos/$R" \
     | jq -r .pushed_at)
echo $(( ($(date +%s) - $(date -d "$P" +%s)) / 86400 ))

Глазами дату читать бесполезно — «2024-03-11» не выглядит страшно, пока не увидишь рядом число 881.

3. Bus factor


S=$(date -u -d '90 days ago' +%Y-%m-%d)
curl -s "https://api.github.com/repos/$R/commits\
?since=$S&per_page=100" \
  | jq -r '[.[] | (.author.login // "?")]
      | group_by(.) | map("\(length) \(.[0])") | .[]' \
  | sort -rn | head -5

Если весь список — один ник, проект держится на одном человеке. Это не приговор, но знать надо заранее, а не когда он выгорит.

Тут спрятаны грабли, на которые я сам наступил. Без скобок вокруг .author.login // "?" конвейер молча теряет коммиты, у которых автор не привязан к аккаунту GitHub. На макете из пяти коммитов jq вернул четыре. Оператор `//` в jq применяется ко всему потоку, а не к каждому элементу — скобки обязательны.

4. Лицензия

В первом же запросе смотри на spdx_id. Значение NOASSERTION означает, что GitHub не смог сопоставить файл лицензии ни с одной стандартной. Чаще всего это BSL, SSPL или самописный текст с ограничениями на коммерческое использование. Открывай LICENSE руками.

5. Есть ли пакет в репах твоего дистрибутива


for p in netdata zabbix-server-pgsql; do
  v=$(apt-cache madison "$p" 2>/dev/null | head -1)
  printf '%-22s %s\n' "$p" "${v:-НЕТ В РЕПАХ}"
done

Проверял на Ubuntu 24.04: netdata нашёлся в noble/universe, zabbix-server-pgsql — нет, ставить придётся из репозитория вендора. Отдельная засада: apt-cache madison и apt-cache policy возвращают код 0, даже когда пакета не существует, просто печатают пустоту. Конструкция apt-cache policy X || echo "нет" не сработает никогда — проверяй пустоту переменной, как выше.

6. Помни про лимит

Анонимно GitHub API даёт 60 запросов в час на IP, и на общем адресе они кончаются мгновенно — я на этом словил 403 посреди проверки. С персональным токеном лимит 5000:


curl -s -H "Authorization: Bearer $GH_TOKEN" \
  https://api.github.com/rate_limit | jq .rate

Честный минус метода: API показывает активность, а не качество. Проект может коммитить каждый день и при этом быть непригодным, а может годами лежать без изменений, потому что он просто дописан. Так что это фильтр первого уровня, а не вердикт.

#Linux #DevOps #GitHub #jq #Чеклист