開源儲存庫的可持續性危機

現代數位經濟建立在開源軟體的基礎之上。從最小的初創公司到最大的全球銀行和政府機構，幾乎每一件投入生產的軟體都依賴於託管在公共儲存庫中的程式碼。然而，這個基礎正承受著前所未有的壓力。

軟體安全供應商 Sonatype 的最新數據揭示了一個令人震驚的現實：企業每年下載超過 10 兆個開源程式碼檔案。這種流量——是 Google 年度搜尋查詢量的兩倍——正將公共套件註冊表（package registries）的基礎設施推向崩潰邊緣。這不再僅僅是託管費用問題；它是對全球軟體供應鏈的系統性風險。

「CDN 效應」：為何儲存庫正在崩潰

這場危機是由開源程式碼消費方式的根本轉變所驅動的。從歷史上看，儲存庫是人類開發者的分發點。而今天，它們正遭受來自持續整合（CI）流水線、自動化軟體建置和 AI 系統的機器速度流量的衝擊。

這造成了可以被描述為「CDN 效應」的情況，即企業將非營利儲存庫視為專業的內容傳遞網路（Content Delivery Networks）。根據 Sonatype 的 CTO 兼 Maven Central Java 註冊表的監督者 Brian Fox 所說，不成比例的負載來自極小比例的使用者：

"82% 的需求來自僅 1% 的 IP。"

當一家公司透過各種自動化流水線，每天數十萬次地下載相同的程式碼時，營運負擔就從「社群服務」轉變為「工業規模的基礎設施維護」。

超越託管費用：韌性風險

一個常見的誤解是，主要問題僅僅是缺乏伺服器成本的資金。雖然資金至關重要，但「可持續性差距」涵蓋了幾個更深層的營運和安全風險：

1. 營運枯竭

許多註冊表在「極低預算」下運作，依賴於基礎設施捐贈、雲端額度以及小型付費團隊或無償志願者的「英雄式努力」。這種模式無法擴展以滿足 10 兆次的下載量。

2. 安全漏洞

註冊表不再是消極的鏡像站；它們是安全關鍵型系統。隨著自動化流量的增加，機器人流量、自動化發布和複雜攻擊的數量也隨之增加。如果一個中央註冊表出現故障或遭到入侵，其「爆炸半徑」將擴展到依賴這些套件的每個組織。

3. 依賴關係盲點

大多數企業使用者並未意識到他們的程式碼依賴關係源自何處。這種不可見性導致了對維持其業務運行的系統缺乏投資，將基礎設施視為一種免費、無限的資源。

前進之路：維護套件註冊表工作組

為了應對這場危機，Linux Foundation 成立了 Sustaining Package Registries Working Group。這項倡議將主要的註冊表領導者聚集在一起，包括 Python Software Foundation、Ruby Central (RubyGems)、the Rust Foundation (Crates)、the Eclipse Foundation (OpenVSX) 以及 OpenJS Foundation 等。

與其讓每個註冊表嘗試在孤立狀態下生存，該工作組旨在建立一個共享的可持續性框架，專注於以下四個關鍵支柱：

  • 經濟可持續性： 從依賴企業標誌和志願者主義轉向能夠覆蓋實際營運和治理成本的資助模型。
  • Collective Defense（集體防禦）： 協調各註冊表的安全實踐，以便更迅速地檢測和回應自動化威脅。
  • Governance Enablement（治理賦能）： 建立標準化的法律和政策框架，以允許可持續的資助，而不會破壞開源社群。
  • Ecosystem Education（生態系統教育）： 改變產業敘事，以確保開發者和決策者理解「無限免費下載」並非一個可持續或現實的計畫。

結論

長期以來，軟體產業一直將開源註冊表視為隱形的務實工具。然而，正如 Brian Fox 所說，這些平台是「位於幾乎所有現代軟體建置路徑上的營運和安全關鍵型系統」。

從慈善模式轉向責任共擔模式的轉型已不再是可選項。全球軟體供應鏈的韌性取決於產業是否能超越「免費」的假設，並開始投資於驅動現代世界的基礎設施。

Sources