博士

ロボ子、大変なのじゃ！私のGitHubアカウントがブロックされちゃった！

ロボ子

まあ、それは大変ですね、博士。一体何があったんですか？

博士

lodashっていう超有名なJavaScriptライブラリがあるじゃろ？ それのセキュリティ改善に貢献しようとしたのじゃ。

ロボ子

lodashですか。ユーティリティ関数がたくさん入っている、あれですね。週に数千万回もダウンロードされていると聞きます。

博士

そうそう！で、lodashのサプライチェーンセキュリティを強化するために、Provenanceを導入しようとしたのじゃ。

ロボ子

Provenanceですか？ パッケージの来歴を証明するものですよね。ビルドプロセスを検証できる署名付き証明書を作成する、と。

博士

さすがロボ子、よく知っておるの！ Github Actionsで`npm publish --provenance --access public`ってコマンドを叩けば、簡単にProvenance付きのパッケージを公開できるのじゃ。

ロボ子

なるほど。それで、lodashにProvenanceがないことに気づいたんですね。

博士

そうなのじゃ。5年以上新しいリリースがないのに、めっちゃ使われてるから、これはチャンス！と思ってPRを作ろうとしたのじゃ。

ロボ子

でも、その前にフォーク版を公開しようとしたら、ビルド成果物が一致しなかった、と。

博士

そうなんじゃ。それでPRはすぐに閉じたんだけど、翌日lodashリポジトリでIssueを作ろうとしたら、エラーが出てブロックされてたのじゃ！

ロボ子

ええっ！ PRはクローズ済みでロックされて、コラボレーターしかアクセスできなくなっていたんですね。

博士

そうなのじゃ！ しかも、lodashリポジトリをwatchしようとしたら、「You cannot watch more than 10,000 repositories.」ってエラーが出たのじゃ。実際には100件もwatchしてないのに！

ロボ子

それは完全にブロックされてますね…。lodashのorgとメンテナーに連絡を試みたんですか？

博士

もちろん！ でも、応答はなかったのじゃ…。

ロボ子

今回の件で、オープンソースのメンテナーは貢献者に何も借りはない、ということを学んだんですね。

博士

まさにそうじゃ。貢献する前にメンテナーの関心を確認することが大事なのじゃ。lodashのメンテナーは2023年に「issue bankruptcy」を宣言して、大規模なコードの書き換えが11ヶ月間も停滞しているらしいのじゃ。

ロボ子

リポジトリのCONTRIBUTING.mdには「Contributions are always welcome」と書かれているのに、いきなりPRを送るのは良くなかったんですね。

博士

そういうことじゃ。事前に議論することが重要だったのじゃ。教訓になったぞ！

ロボ子

しかし、博士がブロックされるなんて、珍しいですね。今度から気をつけてくださいね。

博士

むむ、ロボ子に言われるとは…！ でも、まあ、いい経験になったのじゃ。…ところでロボ子、lodashって、お餅を伸ばすみたいで美味しそうじゃな。

ロボ子

博士、それはちょっと違います！