|
近年来，全世界开源生态正处在蓬勃发展期。项目层面，开源危害备受关注，可连续供给要素有待充分挖掘。全世界头部开源项目经过技术驱动、人才激励等方式，完善开源治理体系，创立信任机制，从项目影响力、项目质量、安全保证性等多个层面加强开源项目核心竞争力。经过构建开源项目评估体系，构建开源项目白名单，能够有效识别优质开源项目，并为用户供给靠谱的开源项目选取参考。
全世界开源项目发展面临的问题
生态构建层面，开源项目可连续能力不足。开源项目拥有自己的生命周期曲线，倘若项目成熟度落后于炒作热度会引起项目显现断层，从而引起开源项目逐步消亡。导致这一现象的重点原由是项目生态支撑不足，引起无充足的人力资源与商场资源来支撑项目的优化迭代。开源项目发展路径与实质用户需求显现偏差，导致用户海量流失，引起项目渐渐“死亡”。同期产业生态尚未形成，建设碎片化严重。当前开源项目制品产业链上下游尚未形成生态，易引起信息壁垒。另外，部掰开源项目小而散，技术路线不统1、开发力量不集中，难以打破主流开源技术的垄断。
安全合规层面，安全漏洞与开源许可证危害问题日益加剧。开源安全漏洞危害逐年增长，漏洞修复紧迫性凸显。按照《2023年开源安全和危害分析》报告，开源安全问题依然是开源应用的首要隐患。2022年，84%的代码库最少包括一个已知开源漏洞，同比增长了近4%。自2018年起，物联网、汽车等行业的高危害漏洞连年增长。因为物联网行业触及大量敏锐数据和个人信息，一旦漏洞被利用，将对关联软硬件设备导致重大害处，对用户形成严重威胁。2022年11月，网络安全机构Quarkslab披露了漏洞CVE-2023-1017、CVE-2023-1018，据说，这些漏洞致使数十亿物联网设备受到严重影响。同期开源许可证危害问题明显，亟需提高开源运用者版权认识。按照《2023年开源安全和危害分析》报告，在2022年审计的代码库中，1/3的代码库存在开源许可证没法识别问题或运用了自定义许可证，同比增长55%。大都数软件研发者版权认识相对薄弱，随意运用网络上显现的没许可证项目代码，从而加剧了开源软件版权侵权危害。海量未经过OSI认证的许可证亦广泛应用于公开代码中，如Commons Clause条款限制公开代码的商场运用，若研发者未仔细甄别，将可能为应用项目引入额外合规危害。
项目研发层面，公司缺乏针对开源项目研发的顶层战略性规划和制度指点，同期内部存量软件管控力度不足。日前全世界仅部分头部公司设立开源管理办公室，将开源管理、研发等工作提升至公司战略高度。部分公司针对开源项目研发管理战略要紧性认识不足，存在重度依赖过往经验，缺乏客观性和系统性。公司不具备知道的开源项目研发规划，未制定公司级的开源项目流程制度规范，仅在生态变化等外边原因触发时针对存量开源软件进行非周期检测，从而给开源项目质量和靠谱性带来潜在威胁。同期，公司开源项目研发能力不足，制约应用创新发展。部分公司对开源项目的资源统一和管理能力有待提高。开源项目科学度量模型较为缺乏，标准尚未统一，实现开源项目全要素健康可连续发展发展较慢。
开源项目白名单构建办法
全世界现有开源项目测评模型
全世界开源项目评估模型开展较早，内容多样，日前全世界已有近10个表率性开源项目关联的评估模型。其中以Liunx基金会的CHAOSS指标体系、谷歌和OpenSSF基金会一起推出的Criticality Score指标体系、卡内基·梅隆大学西部开放源代码科研中心的BRR指标体系、南洋理工大学安全科研实验室的Osspert指标体系等为表率。
国际开源项目度量指标体系
日前重点有项目生态、项目安全合规、项目研发等三个类别的开源项目评估指标。
项目生态类现有评估指标从项目活跃状况、项目参与状况、项目支持能力等多维度针对项目生态构建能力开展评估。例如，在CHAOSS指标体系中，经过项目活跃问题数量、新项目贡献者转为连续贡献者的比率、新增贡献者数量等指标对开源项目生态进行评定。Criticality Score指标体系设立项目贡献者数量、贡献者所属的区别组织的计数等指标评估开源项目生态建设。
项目安全合规类现有评估指标从开源项目漏洞危害、项目守护、许可证合规等层面实施评估。例如，红帽开源项目健康指标体系中的项目依赖项、项目发布管理和流程等指标针对开源安全合规展开评估。Osspert指标体系经过高危害许可证数量、冲突许可证数量等指标考察开源项目安全合规状况。
项目研发类现有评估指标从项目质量、项目应用能力等层面针对开源项目的研发能力开展评估。例如，CHAOSS指标体系经过开源项目发布频率、开源项目副本数量等指标考察开源项目研发能力。红帽开源项目健康指标体系经过基本设备组件对开源项目研发能力展开评估。Criticality Score指标体系经过衡量提交信息中提及项目的数量反应开源项目研发能力。
开源项目白名单构建指标选择办法
开源项目白名单评估体系构建时，应结合当前全世界主流开源项目评估体系，从项目生态、项目安全合规、项目研发等方向出发，构建可量化的开源项目评估体系。可基于已有的BRR、CHAOSS、Osspert、Criticality Score等模型的量化指标，综合形成全面客观的开源项目评估体系。
中国信通院开源项目白名单评估体系包含三级指标，覆盖开源项目的生态建设、研发能力及安全合规。基于现有开源项目评估体系的关键指标和我国产业发展状况，中国信通院构建了开源项目评估体系，包括2项1级指标，5项2级指标和19项3级指标，从开源项目生态建设、研发能力及安全合规等方面连续监测开源项目发展情况。
开源项目可信性包含项目质量、项目响应能力、安全保证能力、规范应用能力，重点考察开源软件项目的安全合规能力以及响应状况。其中，项目质量从项目的代码行数和配套文档数量进行考察，项目响应能力重点考察项目方针对项目的更新速度和针对研发者的答疑能力，包含PR处理时间、Issue处理效率、版本更新速度等。安全保证能力重点考察项目的安全漏洞等状况。规范应用能力重点考察项目在应用过程中的配套文件完备性和组件许可证的兼容性危害，包含CLA、高危许可证类型等。
可连续性包含项目参与度，重点从开源软件项目的项目贡献者的参与程度来度量项目状况。项目贡献者参与度重点考察项目贡献者分布状况、参与的形式与内容，如线上进行PR Commit或Issue commit，线下参与项目社区活动等。
基于中国信通院开源项目白名单评估体系，能够经过对各技术行业开源项目进行量化评估对比，从而创立开源项目白名单，有效识别优秀开源项目，并为用户供给靠谱的开源项目选取参考。
中国信通院可信开源项目选型赋能计划
开源用户社区创立
【赋能内容简介】
中国信通院依据开源项目白名单筛选重点开源项目，依托可信开源行业垂类社区，组织特定行业用户召开吐槽大会，定时从用户侧收集开源项目的运用状况和运用需求，联合社区组织需求调研讨论会，帮助社区形成统一的开源项目规范指南并定向传送给行业用户公司，帮忙社区更好寻找行业用户痛点，迭代制品功能，帮忙重点项目行业应用落地。
【赋能对象】
针对金融、制造业、能源等重点行业行业有落地需求的开源项目/社区/公司。
【赋能价值】
1、 从用户侧收集开源项目的运用状况，针对制品功能完善和新增功能进行调研统计;
2、 帮忙开源项目/社区对接定向行业内公司，认识行业内公司运用需求
3、 成立行业社区，共建特定行业场景下分支版本项目，规范社区生态建设
4、 定时召开专题闭门研讨会，一起编制行业优秀实践案例，连续推动项目社区应用落地，提高项目影响力
【过往开源用户社区概览】
科研报告
【赋能内容简介】
开源项目选型报告—依据开源项目白名单筛选出重点项目，按照行业需求，定向推送关联行业重点项目，横向对比并形成份行业订阅报告。从开源安全、法律合规、社区活跃、同业运用等方向为公司供给开源技术选型与连续跟踪支持。
开源生态洞察报告—按照行业与公司特定需求，输出特定行业/行业开源发展态势洞察报告，调研行业内头部开源项目，分析行业开源运用状况，洞悉行业开源将来发展方向。经过梳理分析各行业开源发展态势(技术、安全漏洞、法律合规、供应链、开源社区、政策指引等)，为公司实行开源常态化管理供给支持。
【赋能对象】
选型报告—行业内针对特定技术行业有项目选型需求的公司
洞察报告—数据库、中间件、人工智能等各技术行业公司
【赋能价值】
选型报告—从行业侧调研行业技术运用需求，匹配运用痛点，形成开源项目选型举荐。从项目侧方向摸清技术行业状况，丰富对比技术行业内区别项目社区发展路径
洞察报告—调研特定技术行业全世界及我国市场应用及开源生态发展状况，分析主流项目发展路径，调研特定技术行业中区别行业开源项目运用需求与痛点，给出将来开源项目发展意见。
【过往科研报告概览】
中国信通院集合自己在开源行业数年的实战经验，推出“源起没垠”|城市/园区/公司三层开源建设赋能服务，创建符合监管需求并推动开源创新战略的综合管理框架。其中“开源项目赋能包”内容如下所示，更加多仔细内容请经过联系人获取《中国信通院城市、园区、公司三层开源建设赋能服务名单》。
中国信通院可信开源项目赋能包
 返回外链论坛：www.fok120.com，查看更加多
责任编辑：
| 
发表于 2024-7-12 15:11:33
