不仅看星标，还要看维护质量
星标很多的仓库也可能已经停止维护，直接下载最新代码不一定比稳定版本安全。
GitHub 可以从提交、发行版、问题和安全公告判断项目状态。选择依赖时要关注最近维护、版本策略和许可证，而不是只看热度。
评估项目的线索
- Release、标签和变更记录是否清楚
- Issue 与 Pull Request 是否有人处理
- 许可证、安全公告和依赖状态是否完整
推荐使用方法
优先下载正式发行版并核对校验值，测试后再纳入项目。团队协作使用分支、评审和自动检查，密钥通过专用秘密管理而不是写入仓库。
使用前注意
公开仓库中的代码不等于没有风险或可以任意商用。运行陌生项目和脚本前应审查来源、权限和依赖，遵守许可证要求。
