Zemsta programisty Open Source. Psuje swój kod i skłania do refleksji

Autor bardzo popularnych bibliotek Open Source intencjonalnie wprowadził do nich poważny błąd i opublikował. Problem dotknął setek tysięcy zależnych projektów, a my zastanawiamy się, czy to tylko kolejna ciekawa historia, czy lampka ostrzegawcza dla branży?

[mrq]

Ale lanie wody.

TLDR;

[mrq]

@Rysiowata: mógł ale to nie licencje są problemem. Ludzie są problemem. Każdy chyba lubi jak ktoś docenia jego prace. Podejrzewam że tu nawet nie chodziło tyle o pieniądze co raczej ten twórca przeżywa jakiś kryzys wartości albo wiary w ludzi. ;) Ja to się w ogóle dziwie jak można nie być poirytowany ludzkością :)

BTW jak by mu co czwarty wysłał dolara na rok to typ nie musiał by w

[Rysiowata]

@mrq: a robił jakieś zbiórki na to? czy liczył na to, że inni się domyślą?

[dzek]

robił jakieś zbiórki

@Rysiowata: jeżeli chodzi o przyciski/sekcje Donate w README i podobnych to nikt z tego nie korzysta :) Wiem, bo sam coś tam działałem, miałem stronę, z której korzystały dziesiątki tysięcy ludzi przez blisko 8 lat i donejtów zebrałem chyba 3, na łączną sumę bodajże $20.

[mateusza]

Problem jest niestety przedstawiony od d... strony. Problemem jest to, że managery pakietów takie jak npm korzystają z najnowszych wersji pakietów, które nie przechodzą żadnej kontroli, audytu itp. To, co miało miejsce tutaj było tylko złośliwością, ale równie dobrze w kodzie pakietu, który zyskał zaufanie społeczności, ktoś mógłby nagle umieścić złośliwy kod.

[i20918]

Problemem jest to, że managery pakietów takie jak npm korzystają z najnowszych wersji pakietów, które nie przechodzą żadnej kontroli, audytu itp.

@mateusza: Nie przechodzą bo ma być tanio i szybko. Jak masz duży projekt albo kilka/kilkadziesiąt projektów to różnego rodzaju narzędzi/aplikacji/bibliotek/etc które za tym idą może być od groma. Ogarnięcie wszystkiego wymaga czasu i pieniędzy więc często kończy się tym że albo sobie gdzieś tam hula jakiś manager albo aktualizacji

[mateusza]

@i20918: otóż to. I stąd problemy.

[Lokiii]

Obowiazkowe XKCD

[rosso_corsa]

to juz teraz rozumiem czemu w requirements podaje się wersje na sztywno

[mateusza]

@rosso_corsa: właśnie tak. A inny powód to po prostu zmiany w bibliotekach, które nie są kompatybilne.

[erayman]

@rosso_corsa: Z drugiej strony autor danej paczki mógł załatać bardzo poważną podatność która umożliwia włamanie się do aplikacji i wyrządzenie ogromnych spustoszeń. Jeżeli nie chcesz opierać się na automatycznych aktualizacjach to będziesz zmuszony śledzić wszystkie newsy ze świata na temat potencjalnych dziur
Jak nie urok to sraczka...

[CryptoPump]

Właśnie z takiego powodu wrzuca się w projekt plik .lock. Podczas pisania aplikacji, wszystkie zależności są zapisane w konkretnych wersjach i w tych konkretnych wersjach "przyjmuje się" że projekt działa dobrze, dodatkowo dobrze napisane testy również wychwycą ewentualne problemy. Jestem ciekaw ile wykopowych programistów pisze jakiekolwiek testy.

[TheDzions]

@CryptoPump: każdy porządny programista wie, że testuje się na produkcji

[eXcore]

@CryptoPump: nikt, tylko Ty jeden piszesz ( ͡° ͜ʖ ͡°)

[p.....k]

Do jazdy samochodem trzeba mieć prawo jazdy, a do tworzenia aplikacji internetowych, zarządzania infrastrukturą sieciową czy chociażby udostępniania bibliotek takich jak colors - tylko klawiaturę

Łooooo ale wysryw na koniec XD

Co się zaś tyczy gościa - wydaje mi się (po 5min w google) że on chyba ma prawo zmienić licencję tego kodu? Jeśli tak to nie rozumiem o co mu chodzi

[qtax]

Dlatego drogie dzieci wydawajcie swój kod na GPL zamiast na MIT/BSD/Apache

[qtax]

@Distroir:

[ZapachWanilii]

@soser: Akurat to nie fake. Niektóre korpo w USA mają programy Matching Gifts, które polegają na tym, że jeśli wpłacisz darowiznę to korpo wpłaca tyle samo. Tutaj po prostu jeden z pracowników wpłacił kilka dolarów i Apple przekazało tyle samo w ramach tego programu.
Bazując na webarchive to screen został zrobiony gdzieś przed marcem 2021, bo wtedy Apple było na poziomie $50–$99

[darth_invader]

Nie rozumiem w czym problem. Jego kod i jego projekt to może wrzucać do kodu to na co ma ochotę. Przecież każdy widzi zmiany i nie musi takiego kodu używać, bo zgodnie z licencją autor za nic nie odpowiada, a pewnie z nikim nie podpisywał umowy, w której zawarte są obowiązki autora wobec pracodawcy/klienta.

[arekfff]

@darth_invader:
Niby masz rację, ale kiedyś usłyszałem jeden wywiad z wujkiem Bobem, który zmienił moją percepcję.
Żyjemy w świecie za dużo zależy od sprzętu i softu, jak jako społeczeństwo nie będziemy dbać o profesjonalność i bezpieczeństwo, to rządy narzucą pewne obostrzenia. Skończy się sielanka, gdy realnie będzie coraz więcej ludzi ginąć za błędy programistyczne.

[Kargaroth]

Takie sytuacje jak powyższa to tylko czubek góry lodowej. Zrobienie psikusa to tam pół biedy. Zdarzały się sytuacje kiedy ktoś przejmował czyjeś repo i publikował zawirusowane wersje - tysiące/miliony projektów zainfekowane. Zdarzały się sytuacje z jakimiś koparkami krypto w bibliotekach.

[mateusza]

@Kargaroth: Koparkami, albo kradziejkami portfeli.

[K.....a]

@mateusza: wystarczy cat ~/.aws/credentials i wyslac zawartosc na serwer... i cyk, zarabiasz tysiące $, bo odpalasz koparki w chmurze