基于 OpenSSF Scorecard 的维护评分预测：一项关于与 PyPI 包关联的 GitHub 仓库的研究

背景：OpenSSF Scorecard 被广泛用于评估开源软件仓库的安全态势，其中 Maintained 指标作为近期维护活动的关键指标，帮助用户识别积极维护的项目和可能被废弃的依赖。然而，该指标本质上是回顾性的，仅基于过去 90 天的仓库活动提供短期快照，无法洞察未来。这一局限性使得依赖开源依赖的开发者和组织的风险评估变得复杂。目标：在本文中，我们研究了预测由 OpenSSF Maintained 评分所反映的未来维护活动的可行性。方法：我们聚焦于由 PageRank 排名的前 1% 最核心 PyPI 库关联的 3,220 个 GitHub 仓库，在三年期间重建历史 Maintained 评分，并将该问题构建为多变量时间序列预测任务。我们研究了四种目标表示：原始 Maintained 评分（0-10），捕捉低（0-2）、中（3-7）和高（8-10）维护水平的分桶评分，连续评分间的数值趋势斜率，以及分类趋势类型（下降、稳定、上升）。我们比较了机器学习模型（Random Forest）和深度学习模型（LSTM），使用了 3-12 个月的训练窗口和 1-6 个月的预测范围。结果：我们的结果表明，未来的维护活动可以以有意义的准确度进行预测，特别是当使用诸如分桶评分和趋势类型等聚合表示时，准确率分别达到 0.95 以上和 0.79 以上。值得注意的是，较简单的机器学习模型的性能至少与深度学习方法持平，这表明有效的预测不需要复杂的架构。