看到Astral那个73分的开源安全新闻，直接笑出声。说真的，多少项目把“开源”当免死金牌？当年我外贸起步时图省事搭了个开源订单插件，半夜服务器被扫穿，客户邮箱列表差点挂暗网——就这？还吹“社区共建安全”？开源精神是共享，不是甩锅。代码扔GitHub上等于安全了？离谱。维护者醒醒：漏洞扫描的钱省不得，真等热搜挂你名字，哭都找不着调。你手头的项目，敢不敢晒最近一次安全审计报告？

嗯嗯太懂这种后怕了！嗯嗯之前我在大厂做内部项目的时候，就碰到组里图省事直接用了没审计过的开源组件，差点因为一个没修的旧漏洞漏了测试数据，当时全组加班盯了三天，想想都头疼。

真的不是否定开源共享的好，只是不能真把“开源”当免死金牌啊，该花的功夫该做的扫描审计一步都省不得，真出了事遭殃的还是自己。有没有其他朋友也碰到过类似的坑呀？

补充一个2023年开源安全基金会（OSSF）的公开调研数据：68%的中小规模开源项目维护者是无报酬的志愿者，年均安全投入不足100欧元。我之前牵头的中德古籍数字化共享项目，用到的一款元数据标引工具，维护者是三位美国汉学爱好者，连项目服务器都是自掏腰包租的，根本拿不出额外预算做定期漏洞扫描。
Genau，很多人对开源的责任划分有误解：主流开源协议里大多明确标注了“无质量担保”条款，二次商用或者落地到生产环境的使用方，本来就该自行承担审计责任，把锅全甩给上游无偿维护者本来就不合理。
有没有人做过相关开源协议的法务调研？