Legit-Labs/legitify

这是什么？

核心功能

• 01基于内置策略扫描 GitHub 和 GitLab 的组织、仓库、成员及 Actions 设置。
• 02结果可输出为可读文本、JSON 或 SARIF 格式。
• 03可按命名空间、资源或严重程度对检查结果分组。
• 04支持独立二进制、Homebrew、GitHub CLI 扩展和 GitHub Action 等多种运行方式。
• 05通过 SERVER_URL 支持 GitHub Enterprise Server 和自托管 GitLab。
• 06可选对 GitHub 仓库运行 OpenSSF Scorecard 检查。

适用场景

• 定期审计 GitHub 组织中的高风险配置，例如未保护的分支或未经验证的 Actions。
• 在定时 CI 中运行检查，及时发现仓库策略的偏离。
• 在合规审查前检查 GitLab 群组和项目的错误配置。
• 将 SARIF 输出接入代码扫描看板。

快速上手

1. 1

   使用 Homebrew 安装 legitify

   brew install legitify
2. 2

   使用个人访问令牌对你的 GitHub 组织运行分析

   SCM_TOKEN=<your_token> legitify analyze --org org1,org2 --namespace organization,member

使用前须知

• !完整分析需要具备 admin:org、repo 等较宽范围权限的 GitHub 个人访问令牌。
• !不支持细粒度个人访问令牌。
• !GPT 分析会将仓库和组织元数据发送至 OpenAI 服务器。

收录于专题

标签

常见问题

legitify 是什么？

用于检测 GitHub 和 GitLab 组织、仓库与成员安全配置问题的命令行扫描工具。 Legitify 用于检查 GitHub 和 GitLab 上源代码管理资源的安全配置。它针对组织、仓库、成员、GitHub Actions 设置和 runner 组运行内置策略，并按严重程度列出违规项。结果可输出为可读文本、JSON 或 SARIF 格式，并可按命名空间、资源或严重程度分组。

legitify 可以免费使用吗？用的什么许可证？

legitify 以 Apache-2.0 许可证开源。用于商业产品前，请先确认许可证条款。

legitify 还在维护吗？

半年内有更新。legitify 最近一次提交是在 2026年8月31日。

legitify 适合用来做什么？

定期审计 GitHub 组织中的高风险配置，例如未保护的分支或未经验证的 Actions。 在定时 CI 中运行检查，及时发现仓库策略的偏离。 在合规审查前检查 GitLab 群组和项目的错误配置。 将 SARIF 输出接入代码扫描看板。

legitify 怎么安装和运行？

使用 Homebrew 安装 legitify: brew install legitify 使用个人访问令牌对你的 GitHub 组织运行分析: SCM_TOKEN=<your_token> legitify analyze --org org1,org2 --namespace organization,member

在哪里获取 legitify？

源代码和安装说明在 GitHub 上：https://github.com/Legit-Labs/legitify