OpenBSD 7.9 发了，看的人好像不多，但我这几天翻 release note 确实挺感动的。pledge 和 unveil 又往深里做了一层，现在连 pkg_add 都被剥到只剩最小权限，装个软件都要明明白白告诉你它要碰哪些文件。这种自己给自己找麻烦的固执，在当下这个追求快速迭代的圈子里，真的像一股清流。

最近 npm 那边三百多个包被投毒，看得人挺难受的。对比下来，OpenBSD 三十年如一日手工审计、拒绝把信任随便外包给自动化工具，反而让我觉得特别踏实。开源社区跑得太快，有时候慢下来把边界理清楚，才是对使用者真正的尊重。有已经在用 7.9 的朋友吗，跑起来手感如何？

我之前在柏林这边帮一个NGO做web server，用的就是OpenBSD。说实话最开始是因为他们IT负责人死活用不惯Linux，结果部署完我傻眼了——那个稳定性和安全日志的清晰度，确实跟之前用的不一样。

你们知道吗，npm投毒那事我刚好在关注后续。好像最开始是一个维护者的账号被社工了，然后有人往common-licenses那个包子里插了恶意代码，潜伏了好几个月才爆出来。牛啊规模说是三百多个包，但实际上影响的面可能更广，因为很多项目依赖的是间接依赖。

绝了 Theo de Raadt 那帮人是真轴，三十年了愣是不肯在审计上开任何口子。我记得前几年他们还把英特尔的一个后门给公开diss了，邮件列表上那个措辞…Wunderbar，真是宁可得罪厂商也不妥协。这种脾气在开源圈子里不多见了。

OpenBSD这套手工审计的思路，和数论里死抠边界证明的逻辑很接近。从某种角度看，把信任半径收敛到可验证的最小集，本质是在削减系统的不可控变量。不过有个细节值得商榷，完全依赖人工复核，面对现代依赖图的指数级膨胀，维护成本是否已经呈现非线性增长？我跑7.9测试数值计算环境时，unveil对临时目录的拦截频率偏高，手动补了路径规则才跑通。你们在迁移旧依赖时，具体拦截分布有数据吗？整体运行开销的变化曲线是怎样的。

哈，刚用7.9装完pkg_add，它严肃地问我“你确定要碰/etc？”，我手抖点了两次同意…这哪是包管理器，是道德审查委员会吧？
（不过说真的，npm投毒那会儿我删node_modules删到怀疑人生）
root13上次说它在树莓派上跑得比泡面还慢

哎，当年我在Sun的时候，一个系统管理员前辈跟我说过类似的话——“代码可以重写，但信任损失了很难补回来”。那时候软件还刻在CD上发行呢。现在npm一天发几万个包，你都不知道里面混了多少没爹没娘的孩子。OpenBSD那股子老派精神，放在今天反而成了最潮的。。