开源社区该如何建立“可控开源”体系？

拼搏现实的明天。 2023-10-15 08:03 116阅读 0赞

软件的开源以及活跃的开源社区确实给企业、个人开发者带来极大的便利，同时也推动了软件开发这个领域的发展！开源社区的开发者数量的庞大、开源软件的丰富，可以掀起一波又一波的变革，本质上是有利于发展的，也符合发展的规律。但是万事都是辩证的，开源也有另外一面：安全性。

借助于阿里云问答话题讨论，有幸将自己对于开源社区该如何建立“可控开源”体系看法与各位朋友进行讨论。

对于开源的看法，在开头已经阐述了，确实是一把双刃剑，但是我的看法就是利远远大于弊！

**讨论一：开源社区需要为开源软件的安全负责吗？**

所谓的代码安全问题，确实有，而且一旦发生，会带来不小的负面影响，但是在设计、开发某款开源软件或者程序的时候，开发者本身不一定能够处理的面面俱到的，正因为“众人拾柴火焰高”，一个人的力量想不到那么多问题，才需要开源，不断的去润色，逐渐成为一个成熟的、安全的开源程序，这才是良性的。所以我个人认为开源社区不需要为开源软件的安全负100%责任，但是也不是说一点责任也不负，比如说明明已经有开发者提了有安全漏洞，或者使用者也向开源社区提了某某开源程序有安全漏洞，这个时候社区没有及时提醒相关开源程序的开发人员，这种情况，我觉得，社区是有责任的。

**讨论二：为了开源生态能更好的发展，应该如何保证“开源可控”？**

这个在我看来“控”可以体现在几个方面：

首先，开源程序的开发者需要对自己的开源程序进行“控”，没有十足把握的功能不要轻易开放，开放后也有不断测试，修复频率要高，甚至前期可以邀请更多的开发者加入进来，等积累到一定量级的时候，需要及时关注自己的程序别人所提的bug，不给bug喘气的时间，及时修复。对于测试出有重大bug的情况，需要及时公布，如果在短时间内无法修复，最好还能撤回相关功能，减少使用者的损失。

其次，开源社区需要加强对热门开源程序进行“控”，对于互联网上反馈的漏洞，社区也应该有自己的判断，比如重大漏洞的，应该及时通知相关开源程序的负责人，酌情关闭其入口，对于不会造成重大损失的漏洞，社区也应该更进其修复进度，这样的话，社区也尽到了该尽的责任，假如某某安全漏洞是某社区中的一个开源程序导致的，这个时候会大大降低使用者以及其他开发者对社区的信任度，所以在“控”上，社区理应比开发者本身更加谨慎。

最后，开源程序的使用者也要有“控”的意识，要做到不能100%相信“雏鹰”程序，对于成熟程序，在使用的时候也要加强测试。

**讨论三：上云能从一定程度上解决开源带来的安全性问题吗？**

这个我觉得一定程度上应该可以解决开源带来的安全性问题，毕竟能够上云的开源程序，一定是云提供商经过大量测试、评估才决定收录的，所以使用者大多数不会遇到难以解决或者说能造成极大破环的安全漏洞，即使有，因为用的是上云的开源程序，云提供商可以速度下线或者回退版本，这样的话对于风险的控制会处理的很好。不过即使如此，对于开源程序的监管是云提供商每天必做的功课，只有这样，才能让开发者尽情发挥自己的才华，使用者尽情无忧去使用。

以上就是我的个人拙见，希望在看的朋友能够与我讨论，感谢阅读！