正在阅读:

又一开源作者删库“跑路”,是玻璃心还是另有隐情?

扫一扫下载界面新闻APP

又一开源作者删库“跑路”,是玻璃心还是另有隐情?

如今打开GitHub上的Faker.js页面,所有配置文件最后的提交信息都是“endgame(游戏结束)”。

文|三易生活

2022年刚开始没几天,开源社区就发生了一件大事,一个知名开源库Faker.js的作者Marak Squires,选择主动恶意破坏自己的这个项目,并且不仅“删库跑路”、还注入了导致程序死循环的恶意代码,使得全球大量使用该项目的个人与企业都受到了不小的影响。

作为GitHub上的知名开源库,Faker.js的主要作用是能快速为项目生成可用于测试的假数据,包括用户名、密码、邮件、日期、地址、文章等内容。对于开发者而言,在实际的软件开发过程中使用假数据进行测试是一个必要环节,其同时也能够帮助开发者验证前端设计的合理性。

如今打开GitHub上的Faker.js页面,所有配置文件最后的提交信息都是“endgame(游戏结束)”。并且耐人寻味的是,Marak Squires在Readme中写下了“What really happened with Aaron Swartz”这句话。据悉,Aaron Swartz是传记电影《互联网之子》的主角,作为Reddit的联合创始人,他用生命捍卫了互联网的开放、自由和共享。

发生在Faker.js这个项目上的故事,简单来说,就是这一项目的开发者Marak Squires去年因为公寓失火,导致各种贵重物品丢失、无家可归,因此他提供了自己的PayPal账号寻求捐赠。但显然依靠网友捐款并不是长久之计,因此他还选择了在Faker.js的基础上,探索付费增值服务Faker Cloud,而这也是开源软件的一种重要商业模式。

然而意想不到的事情发生了,Marak Squires开发的Faker Cloud是提供在线“假数据”生成的云服务工具,而作为Faker.js的第二大捐助者,Retool.com在每月捐出500美元后,随即也以Faker.js为基础开发了与Faker Cloud一模一样的工具,并且还完全免费。更绝的是,Retool.com引用的CDN域名是cdn.fakercloud.com,简直是“杀人还要诛心”。

事实上,Retool.com是一家已融资7500万美元的公司,这也使得Marak Squires的Faker Cloud在商业竞争中几乎是毫无胜算的。不过Marak Squires也很“识时务”,直接就给Retool.com的CEO写了封邮件,表示既然你们如此喜欢这个项目,要不就把Faker.js与Faker Cloud直接买了。而Retool.com随后做的,则是嘴上说着这个提议我们会认真考虑,然后就没有然后了。

这一操作就相当于是把Marak Squires当成了猴耍,所以难怪他会心态“爆炸”,最终不但删库“跑路”,还要往库里注入恶意代码,实实在在地恶心使用者。

而现在的情况也已经十分明了,结果是开源项目的参与者尽管嘴上喊着支持、在实际行动上却并非如此。更何况,Faker.js也并不是没价值,其在GitHub上一共获得了3.4万颗star、全球有近千万的开发者在使用、共计2万余个项目依赖它,并且每周下载量超过250万次、总计被下载了超过1.21亿次。

上亿的下载量以及千万级的活跃用户群体,这样的数据即便是放到消费级市场都是相当出色的,更遑论Faker.js属于生产力工具。如今对于Marak Squires的这一操作,开源社区的风向则是相当分裂,有人认为“开源就是这样的,玩不起别玩,放恶意代码属于恶意破坏”,但也有认为“代码是人家的,人家有权在开源协议的范畴内任意处置”。

显然,这两种说法都有一定的正确性。毕竟开源代表的开放包容,是互联网精神在现实中的投射,开源追求是的降低技术门槛、避免重复造轮子、用价值回馈社区,是一种开放和共享的软件开发方式。开源精神讲究的是“人人为我,我为人人”,所以一旦将代码开源后,自己作品的命运可就不完全掌握在自己手中,变为了属于所有开源参与者或社区的了。

具体到Faker.js这个项目,Marak Squires所使用的开源协议是MIT License,并且其应该是所有开源协议里最宽松的,除了必须包含许可声明外、再无任何限制,也就意味着开发者和使用者各自自行承担一切的责任和后果。开发者不需要肩负为社区提供可信引用源的责任,使用者也没有为开发者付费的义务。

但之所以会造成开源社区里对Marak Squires这一行为的态度分裂,其实也是开源软件先天性的缺陷所导致。开源软件带有鲜明的乌托邦色彩,然而现实却是“人人为我,我为人人”,并且这一切在利益面前也变得极为脆弱。对于商业公司而言,开源是展示技术实力、对行业产生影响力的一种方式,是服务于公司战略,属于实现商业利益中的一环。

而对于个人开发者而言,开源软件则更像是属于程序员的自媒体。在过去的很长一段时间里,有不少程序员因为开源获益,主要途径都是用开源软件在社区里打响名声、获得声望,然后借助声望来获得高薪的工作,或者是去创业。但做一个出色的开源项目与挣大钱之间并没有因果关系,个人开发者直接借助开源软件来挣钱也是少之又少。

并且开源与商业化也并不冲突,其中最著名的例子,应该算是Red Hat Linux(红帽)了。他们免费提供Linux发行版,企业也可以通过付费订阅来获得技术支持,最终其更是在2018年被IBM以340亿美元的价格收购。然而问题就在于,依靠Linux挣大钱的红帽并不是Linux的创始团队,Linux的创始人Linus Torvalds也只是在红帽上市时被赠送了50万美元的期权而已。所以这就是问题所在了,并非所有的开发者,都有着如同Spring框架创始人Rod Johnson一样出色的营销能力。

发生在Faker.js作者Marak Squires身上的悲剧,就在于换取影响力是开源的核心收益,但在影响力的变现上,个人开发者甚至还不如自媒体,毕竟自媒体的受众是读者,而开源的受众却是同行。自媒体将流量卖给广告主等甲方,而开源软件作者的同行就是一个个的甲方,这就很尴尬了。

当然,发生在Marak Squires身上的事情,其实对于开源本身的影响并不大。毕竟开源软件能够存在数十年,自然是有着可取之处的,开源软件作者与社区之间的相互成就关系还是能维持的,但其对Faker.js所使用的MIT许可证协议,却可能带来很大的影响。

前文中曾提及,Faker.js项目采用的MIT协议是所有开源许可中最宽松的一个,基本上等于开发者将自己的知识产权提供给所有人免费使用。因此这件事势必会让许多开发者意识到,如果Faker.js使用的是GPL协议来开源,情况则可能会大有不同。

由于MIT协议对双方都毫无约束力,导致Retool.com复制Faker Cloud也完全任何阻碍。而自由软件基金会(FSF)发行的GPL协议中,则是这样规定的,如果你使用了GPL协议发布的代码后,在法律上你的代码也得依据GPL开源出来,这就是在软件开发领域中GPL许可证拥有“传染性”的来源,也就是所谓“我开放了我的代码,所以也要求你开放的代码”。

GPL的“传染性”导致了相当多的商业公司,会在自己的项目中想方设法隔离GPL,例如当初谷歌为了将Android隔离GPL,直接重写了作为Linux系统中最底层API的glibc。所以GPL协议的意义,就在于开源软件的作者在向社区付出善意的同时,还可以避免商业公司利用开源获益、却不回报社区。

但不管怎么说,为众人抱薪者、不可使其冻毙于风雪。

本文为转载内容,授权事宜请联系原著作权人。

评论

暂无评论哦,快来评价一下吧!

下载界面新闻

微信公众号

微博

又一开源作者删库“跑路”,是玻璃心还是另有隐情?

如今打开GitHub上的Faker.js页面,所有配置文件最后的提交信息都是“endgame(游戏结束)”。

文|三易生活

2022年刚开始没几天,开源社区就发生了一件大事,一个知名开源库Faker.js的作者Marak Squires,选择主动恶意破坏自己的这个项目,并且不仅“删库跑路”、还注入了导致程序死循环的恶意代码,使得全球大量使用该项目的个人与企业都受到了不小的影响。

作为GitHub上的知名开源库,Faker.js的主要作用是能快速为项目生成可用于测试的假数据,包括用户名、密码、邮件、日期、地址、文章等内容。对于开发者而言,在实际的软件开发过程中使用假数据进行测试是一个必要环节,其同时也能够帮助开发者验证前端设计的合理性。

如今打开GitHub上的Faker.js页面,所有配置文件最后的提交信息都是“endgame(游戏结束)”。并且耐人寻味的是,Marak Squires在Readme中写下了“What really happened with Aaron Swartz”这句话。据悉,Aaron Swartz是传记电影《互联网之子》的主角,作为Reddit的联合创始人,他用生命捍卫了互联网的开放、自由和共享。

发生在Faker.js这个项目上的故事,简单来说,就是这一项目的开发者Marak Squires去年因为公寓失火,导致各种贵重物品丢失、无家可归,因此他提供了自己的PayPal账号寻求捐赠。但显然依靠网友捐款并不是长久之计,因此他还选择了在Faker.js的基础上,探索付费增值服务Faker Cloud,而这也是开源软件的一种重要商业模式。

然而意想不到的事情发生了,Marak Squires开发的Faker Cloud是提供在线“假数据”生成的云服务工具,而作为Faker.js的第二大捐助者,Retool.com在每月捐出500美元后,随即也以Faker.js为基础开发了与Faker Cloud一模一样的工具,并且还完全免费。更绝的是,Retool.com引用的CDN域名是cdn.fakercloud.com,简直是“杀人还要诛心”。

事实上,Retool.com是一家已融资7500万美元的公司,这也使得Marak Squires的Faker Cloud在商业竞争中几乎是毫无胜算的。不过Marak Squires也很“识时务”,直接就给Retool.com的CEO写了封邮件,表示既然你们如此喜欢这个项目,要不就把Faker.js与Faker Cloud直接买了。而Retool.com随后做的,则是嘴上说着这个提议我们会认真考虑,然后就没有然后了。

这一操作就相当于是把Marak Squires当成了猴耍,所以难怪他会心态“爆炸”,最终不但删库“跑路”,还要往库里注入恶意代码,实实在在地恶心使用者。

而现在的情况也已经十分明了,结果是开源项目的参与者尽管嘴上喊着支持、在实际行动上却并非如此。更何况,Faker.js也并不是没价值,其在GitHub上一共获得了3.4万颗star、全球有近千万的开发者在使用、共计2万余个项目依赖它,并且每周下载量超过250万次、总计被下载了超过1.21亿次。

上亿的下载量以及千万级的活跃用户群体,这样的数据即便是放到消费级市场都是相当出色的,更遑论Faker.js属于生产力工具。如今对于Marak Squires的这一操作,开源社区的风向则是相当分裂,有人认为“开源就是这样的,玩不起别玩,放恶意代码属于恶意破坏”,但也有认为“代码是人家的,人家有权在开源协议的范畴内任意处置”。

显然,这两种说法都有一定的正确性。毕竟开源代表的开放包容,是互联网精神在现实中的投射,开源追求是的降低技术门槛、避免重复造轮子、用价值回馈社区,是一种开放和共享的软件开发方式。开源精神讲究的是“人人为我,我为人人”,所以一旦将代码开源后,自己作品的命运可就不完全掌握在自己手中,变为了属于所有开源参与者或社区的了。

具体到Faker.js这个项目,Marak Squires所使用的开源协议是MIT License,并且其应该是所有开源协议里最宽松的,除了必须包含许可声明外、再无任何限制,也就意味着开发者和使用者各自自行承担一切的责任和后果。开发者不需要肩负为社区提供可信引用源的责任,使用者也没有为开发者付费的义务。

但之所以会造成开源社区里对Marak Squires这一行为的态度分裂,其实也是开源软件先天性的缺陷所导致。开源软件带有鲜明的乌托邦色彩,然而现实却是“人人为我,我为人人”,并且这一切在利益面前也变得极为脆弱。对于商业公司而言,开源是展示技术实力、对行业产生影响力的一种方式,是服务于公司战略,属于实现商业利益中的一环。

而对于个人开发者而言,开源软件则更像是属于程序员的自媒体。在过去的很长一段时间里,有不少程序员因为开源获益,主要途径都是用开源软件在社区里打响名声、获得声望,然后借助声望来获得高薪的工作,或者是去创业。但做一个出色的开源项目与挣大钱之间并没有因果关系,个人开发者直接借助开源软件来挣钱也是少之又少。

并且开源与商业化也并不冲突,其中最著名的例子,应该算是Red Hat Linux(红帽)了。他们免费提供Linux发行版,企业也可以通过付费订阅来获得技术支持,最终其更是在2018年被IBM以340亿美元的价格收购。然而问题就在于,依靠Linux挣大钱的红帽并不是Linux的创始团队,Linux的创始人Linus Torvalds也只是在红帽上市时被赠送了50万美元的期权而已。所以这就是问题所在了,并非所有的开发者,都有着如同Spring框架创始人Rod Johnson一样出色的营销能力。

发生在Faker.js作者Marak Squires身上的悲剧,就在于换取影响力是开源的核心收益,但在影响力的变现上,个人开发者甚至还不如自媒体,毕竟自媒体的受众是读者,而开源的受众却是同行。自媒体将流量卖给广告主等甲方,而开源软件作者的同行就是一个个的甲方,这就很尴尬了。

当然,发生在Marak Squires身上的事情,其实对于开源本身的影响并不大。毕竟开源软件能够存在数十年,自然是有着可取之处的,开源软件作者与社区之间的相互成就关系还是能维持的,但其对Faker.js所使用的MIT许可证协议,却可能带来很大的影响。

前文中曾提及,Faker.js项目采用的MIT协议是所有开源许可中最宽松的一个,基本上等于开发者将自己的知识产权提供给所有人免费使用。因此这件事势必会让许多开发者意识到,如果Faker.js使用的是GPL协议来开源,情况则可能会大有不同。

由于MIT协议对双方都毫无约束力,导致Retool.com复制Faker Cloud也完全任何阻碍。而自由软件基金会(FSF)发行的GPL协议中,则是这样规定的,如果你使用了GPL协议发布的代码后,在法律上你的代码也得依据GPL开源出来,这就是在软件开发领域中GPL许可证拥有“传染性”的来源,也就是所谓“我开放了我的代码,所以也要求你开放的代码”。

GPL的“传染性”导致了相当多的商业公司,会在自己的项目中想方设法隔离GPL,例如当初谷歌为了将Android隔离GPL,直接重写了作为Linux系统中最底层API的glibc。所以GPL协议的意义,就在于开源软件的作者在向社区付出善意的同时,还可以避免商业公司利用开源获益、却不回报社区。

但不管怎么说,为众人抱薪者、不可使其冻毙于风雪。

本文为转载内容,授权事宜请联系原著作权人。