github-auditlisted

# /github-audit：GitHub 贡献真实性核验 简历上的"开源贡献"是最容易被误读的一栏：仓库越有名，HR 越容易高估；而 GitHub 的公开数据恰恰能让这件事被精确核实。 本 skill 的核心原则是：**看 diff，不看数字**。PR 数量、star 数、绿格子密度都可以被廉价地做出来，唯有每个 PR 实际改了什么代码无法伪装。 ## 边界 - 只访问候选人在简历或沟通中**主动提供**的账号/仓库链接。**绝不根据姓名、拼音、邮箱前缀去搜索猜测账号**——同名账号极多，误认的后果是把无关的人的行为归到候选人头上。 - 只读公开信息。不尝试访问私有仓库，不通过任何手段推断私有活动。 - 不核验与技术能力无关的内容（候选人 star 过什么项目、follow 了谁、在什么议题下发过言）。这些既不相关也涉及隐私。 - GitHub 活跃度低**完全不是**负面信号。大量优秀工程师的产出全在公司内网。只有当简历**主动声称**了开源贡献时，本核验才适用。 ## 核验流程 ### 第一步：确认账号归属 在核验任何内容前，先确认这个账号确实是候选人的。可接受的归属证据：简历中直接写明的链接、账号 profile 中与简历一致的姓名/学校/公司信息、个人网站与账号的互相链接。 归属存疑时**停止核验**，在报告中写"账号归属无法确认，未做核验"。宁可不查，不可查错人。 ### 第一步半：速查粗筛（先做这个，再决定细看哪些） 逐个开 PR 看 diff 准确但慢。先按 [references/quick-metrics.md](references/quick-metrics.md) 花几分钟做量化粗筛，决定把精力投在哪里： 1. **先查两项硬证据**（若简历声称 Maintainer / 核心作者）：目标仓库根目录有无 `MAINTAINERS`/`CODEOWNERS`/`OWNERS` 且名单含候选人；Releases 页有无候选人作为发布者。这两项能最快证实高强度身份主张。 2. **按 owner 分叉**：在 `github.com/pulls?q=is:pr+author:{用户名}+is:merged` 里，先剔除打向**自己**仓库的 PR，剩下的才是可核验的外部贡献。 3. **看比例，不看个例**：统计外部 PR 中文档类的占比（用 Files changed 的文件后缀机械判定）。 4. **蹭明星项目核验**：声称贡献过某知名项目时，直接看 `/{org}/{repo}/commits?author={用户名}` 的 commit 数。 粗筛结果决定细看范围：占比异常或身份主张强的，再进入第二步逐个开 diff。 ### 第二步：贡献类型分布（核心） **先读这条纪律**：**单个小 PR 不构成任何信号。** 实测中 58% 的开发者都至少有一个琐碎的外部 PR，而"多数 PR 都琐碎"的只有 0.4%。任何惩罚"提过小 PR"这个事件的判断，都是为了抓极少数人而误伤绝大多数人。 因此报告里**不要写"该 PR 为 T0 级"，要写"N 个外部 PR 中 T0/T1 占比 X%"**。造假是账号历史的**比例属性**，不是单个 diff 的**事件属性**。 打开候选人在**外部项目**（非自己的仓库）的 PR，查看实际 diff。**建议按两个正交轴分类**——类型轴（文档 / 表现层 / 核心代码，可按文件路径机械判定）× 深度轴（下表）。把"改 README 里的架构说明