​​Я устал, я ухожу или соловья баснями не накормишь

Очередная новость с просторов сети:

▫️ Ник Велнхофер (Nick Wellnhofer), сопровождающий библиотеку libxml2, объявил, что отныне будет трактовать уязвимости как обычные ошибки. Сообщения об уязвимостях не будут рассматриваться в приоритетном порядке, а станут исправляться по мере появления свободного времени.

Информация о сути уязвимости будет размещаться в публичном доступе сразу, не дожидаясь формирования патча и распространения исправления в дистрибутивах и операционных системах.

Ник также снял с себя полномочия сопровождающего библиотеку libxslt и высказал сомнения в том, что найдётся кто-то готовый взять на себя её поддержку.

✅ Источник: https://www.opennet.ru/opennews/art.shtml?num=63437

На первый взгляд новость вызывает недоумение и возмущение: ну как это так? Это же уязвимости! А тут взять и отказаться их исправлять. Но не будем спешить с выводами, благо Ник достаточно подробно пояснил свою позицию.

А именно, что данная библиотека написана энтузиастами, сопровождается одним добровольцем, плохо протестирована, написана на языке, небезопасно работающем с памятью, содержит множество уязвимостей и не рекомендована для обработки не заслуживающих доверия данных.

При этом данную библиотеку используют в своих продуктах Apple, Google и Microsoft (а также 1С) и как-то не спешат помочь разработчику. Ну да опенсорс, все свободно, никто никого не держит.

Кроме того, по свидетельству Ника крупные компании использую манипуляции дабы вызвать у разработчиков чувство вины и заставить их работать над исправлением ошибок бесплатно.

Поэтому он впредь готов сосредоточиться на дальнейшей работе над библиотекой libxml2, но исправлять обнаруженные ошибки и уязвимости будет по мере наличия свободного времени и возможности.

Если разобраться – все по-честному. Человек длительное время в одно лицо тянул популярный проект, который использовали все кому не лень, включая крупных игроков рынка, но не отдавая ничего взамен, ну кроме дружеского похлопывания по плечу.

Это довольно распространенная практика, особенно среди начинающих авторов или разработчиков, когда нематериальное вознаграждение – признание ставится выше материального.

Но, как известно, соловья баснями не накормишь и по мере того, как проект превращается в рутину и начинает занимать все больше времени вопрос материального вознаграждения встает все более остро.

Можно сколь угодно рассуждать о меркантильности, но продукты в магазине почему-то бесплатно не отпускают, равно как и счета требуется оплачивать каждый месяц. А дальше ставится закономерный вопрос – а что мне приносит этот проект?

А он не приносит ничего, в смысле – хорошего, а вот негатива начинает приносить достаточно, работа с багами и уязвимостями явно не приносит хорошего настроения, равно как и с требованиями и ожиданиями пользователей.

Поэтому подобные проекты или находят свою модель монетизации, либо оказываются заброшены своими авторами. И никто, вопреки культивируемым мифам, из числа этого самого сообщества, которое тысячи глаз и тысячи рук не поспешит поддержать автора, подбодрить, помочь, подхватить и понести дальше выпавшее знамя.

Нет, скорее толкнут еще сильнее, дружно запинают и затопчут всей толпой, а о выпавшее знамя вытрут ноги и долго еще будут вспоминать какой нехороший человек это был. Мы к нему со всей душой, безвозмездно продукт его деятельности использовали, а он так нехорошо с нами поступил.

В общем сказка ложь, да в ней намек. А это даже совсем и не сказка. Данная история хороший повод задуматься всем, а прежде всего авторам и разработчикам. Задуматься о том, что мы живем в материальном мире и имеем материальные потребности. И каждый раз взяв что-то бесплатное вспоминать, что за этим бесплатным все-таки стоит чей-то труд.