Open Source et standards de collaboration

SlidesPDF PPTX

Niveau : Intermediate

Durée : 1h30

Prérequis

Maîtriser les bases GitHub (branches, PRs, remotes) Ateliers 07-08
Avoir un compte GitHub et gh installé (Atelier 02)
Comprendre les licences de base

Objectifs d'apprentissage

Expliquer et exécuter le Fork workflow (fork → clone → upstream sync → PR)
Utiliser gh CLI pour repo, issue, pr, release, codespace
Structurer la gouvernance : README, CONTRIBUTING, CODEOWNERS, LICENSE, SECURITY, FUNDING
Activer Dependabot, Secret Scanning et la Security Policy

Progression dans cet atelier0%

Pourquoi le Fork ? (et pas le push direct)

Dans l’open source ou une grande équipe, vous n’avez pas le droit d’écrire sur upstream (le dépôt officiel).

Sans Fork

git push origin main → 403 Forbidden → bloqué

Avec Fork

Fork (votre copie) → clone → PR → review → upstream décide

<pre dir="ltr" class="mermaid">flowchart LR U[Upstream<br/>joinhashcode/original] -- Fork --> O[Origin<br/>votre fork] O -- clone --> L[Local<br/>votre PC] L -- push --> O O -- Pull Request --> U</pre>

1. Le workflow Fork en 6 étapes

Forker sur GitHub : bouton Fork sur upstream → crée votre-username/projet (origin) 2. Cloner votre fork : bash git clone https://github.com/votre-username/projet.git cd projet 3. Ajouter l’upstream : bash git remote add upstream https://github.com/upstream/projet.git git remote -v # origin https://github.com/votre-username/projet.git (fork) # upstream https://github.com/upstream/projet.git (original) 4. Travailler sur une branche : bash git switch -c feat/ma-contrib git commit -m "feat: add feature" 5. Synchroniser régulièrement : bash git fetch upstream git switch main git merge upstream/main # ou gh repo sync 6. Pousser & PR : bash git push -u origin feat/ma-contrib gh pr create --fill

Détails de synchronisation

# Voir les commits en retard
git log --oneline HEAD..upstream/main
git fetch upstream
git merge upstream/main
git push origin main   # met à jour votre fork

Variante gh :

gh repo fork upstream/projet --clone --remote
gh repo sync

Commandes à exécuter

bash

# Cliquez sur les commandes à gauche pour les exécuter dans le simulateur

hashcode-academy:~$_

2. GitHub CLI (`gh`) — le terminal qui remplace le navigateur

gh = GitHub dans le terminal. Auth, repo, issue, pr, release, codespace.

Auth

gh auth login
# GitHub.com → HTTPS → Yes → Paste token
gh auth status

Repo

gh repo clone joinhashcode/workshops
gh repo view --web
gh repo fork upstream/projet --clone
gh repo create mon-projet --public --license mit --clone
gh repo sync

Issues & PRs

gh issue list --limit 10
gh issue create --title "bug: login" --body "Closes #42"
gh issue view 42 --web

gh pr create --draft --fill
gh pr create --title "feat: add login" --body "Closes #42" --reviewer joinhashcode/team
gh pr view 42 --web
gh pr checkout 42
gh pr merge 42 --squash --delete-branch
gh pr list --state open

Release & Codespace

gh release create v1.0.0 --generate-notes
gh release view v1.0.0 --web

gh codespace create --repo joinhashcode/workshops
gh codespace list
gh codespace list --web

Commandes à exécuter

bash

# Cliquez sur les commandes à gauche pour les exécuter dans le simulateur

hashcode-academy:~$_

3. Gouvernance : les 7 fichiers qui font un dépôt pro

Fichier	Où	Rôle	Exemple
`README.md`	Racine	Vitrine : quoi, pourquoi, comment installer/lancer	Badges, installation, usage
`CONTRIBUTING.md`	Racine ou `.github/`	Comment contribuer : branches, commits, tests	`CONTRIBUTING.md` (racine)
`CODEOWNERS`	`.github/`	Reviewers auto par chemin	`*.js @frontend`
`CODE_OF_CONDUCT.md`	Racine ou `.github/`	Règles de communauté	Contributor Covenant
`LICENSE`	Racine	Légal : MIT, Apache, GPL	`LICENSE` (texte complet)
`SECURITY.md`	Racine ou `.github/`	Comment signaler une faille	Email privé
`FUNDING.yml`	`.github/`	Parrainage	GitHub Sponsors

`README.md` minimal pro

# Projet

![CI](https://github.com/user/repo/actions/workflows/ci.yml/badge.svg)

## Installation

npm install

## Usage

npm run dev

`CONTRIBUTING.md` — extrait

1. Fork → Branch `feat/xxx` depuis `main`
2. Commits Conventional Commits
3. Tests : npm test
4. PR avec template

`CODEOWNERS` — exemple complet

# Frontend
*.js    @joinhashcode/frontend-leads
*.tsx   @joinhashcode/frontend-leads

# Docs
/docs/  @joinhashcode/docs-team
*.md    @joinhashcode/docs-team

# Infra
/deploy/  @joinhashcode/devops-team
*         @joinhashcode/tech-leads

Licences

MIT : faites ce que vous voulez, gardez la licence (populaire)
Apache 2.0 : MIT + brevets
GPL v3 : dérivés doivent rester GPL

Choisir : https://choosealicense.com ou gh repo create --license mit

`FUNDING.yml`

github: [joinhashcode]
patreon: joinhashcode

Commandes à exécuter

bash

# Cliquez sur les commandes à gauche pour les exécuter dans le simulateur

hashcode-academy:~$_

4. Sécurité GitHub

3 piliers

Dependabot (.github/dependabot.yml) — scanne package.json, ouvre PR auto si vulnérabilité

version: 2
updates:
  - package-ecosystem: npm
    directory: '/'
    schedule: { interval: weekly }

Secret Scanning — bloque le push si clé API/mot de passe détecté

Security Policy (SECURITY.md) — canal privé pour signaler :

# Security Policy

Email: security@joinhashcode.com — ne pas ouvrir d'issue publique.

Bonnes pratiques

Ne jamais committer .env → .gitignore + git-secrets + gitleaks
Activer Dependabot alerts : Settings → Code security
Signer les commits (git commit -S -m "...") si exigé