Dependency cooldowns turn you into a free-rider
15 hours ago
- #package-management
- #supply-chain-security
- #open-source
- 依赖冷却期会延迟新软件包版本的采用，迫使开发者依赖他人检测供应链攻击，导致用户成为免费搭车者。
- 冷却措施会给他人带来额外成本，需要在多个包管理器中实施，且容易被规避，提供的安全保障并不完整。
- 上传队列将等待期集中在依赖服务器端，实现发布与分发环节的分离，既消除了免费搭车问题，又简化了安全流程。
- 上传队列能减少意外更新，提供版本发布预先通知，为安全扫描和维护者提醒留出时间，并能有效阻止未授权发布。
- 对于使用Markdown文件的LLM等AI系统，具有审核机制和所有者复核功能的上传队列至关重要，可预防供应链攻击和数据泄露。
- 上传队列的资金可来源于现有资源、企业赞助或付费加急审核服务，通过交叉补贴机制保障生态系统安全。