文 | 罗奇奇 \
出品 | OSC 开源社区（ID：oschina2013）
基于 Java 的日志记录工具 Apache Log4j2 近日呈现了一个高危破绽，攻击者能够利用其 JNDI 注入破绽近程执行代码，此破绽牵涉面十分广，以至于国内外的集体或公司用户都对此高度关注，而 Log4j2 开发组在破绽曝光后及时公布了 Apache Log4j 2.16.0 保护版本，默认禁用 JNDI，使此破绽失去管制。
但小编在学（mo）习（yu）的时候，发现 Log4j2 的维护者之一 @Volkan Yazıcı 在推特上吐槽：Log4j2 维护者只有几个人，他们无偿、自愿地工作，没有人发工资，也没人提交代码修复问题，出了问题还要被一堆人在仓库里留言痛骂。
Log4j 维护者始终在为缓解措施而失眠：修复、文档、CVE、对查问的回复等。然而，没有什么能阻止人们痛骂（bush）咱们，因为这份没有报酬的工作。其实咱们都不喜爱这个出于向后兼容性问题而须要保留的性能（指 JNDI）。
这是一个十分事实的问题，咱们权且将这个问题称之为“开源可持续性问题”。通常来说，一个开源我的项目，要不就是反应平平无奈造成生态，导致开发者激情逐步升高、缓缓停掉；或者我的项目是大热门，很多集体和公司都在用，但 —— 除了出问题的时候问一下，简直没有人会为开发者提供财务反对或奉献代码修复。
而那些应用免费资源而从不回馈社区的公司，他们对开源软件的利用始终是开源我的项目维护者的痛处。他们应用开源我的项目达到企业老本最小化和利润最大化，然而这些利润跟开发者一毛钱关系没有，甚至还有公司出了问题连忙甩锅给开源作者，比方前段时间 curl 作者吐槽苹果把他当做收费工具人：
“设想一下，一家市值万亿美元的公司将各种开源组件利用到本人的产品中，每年赚取数十亿美元的利润。当这家公司的一个用户向它提供的产品寻求帮忙时，公司却把用户推给开源我的项目。这个开源我的项目是由志愿者经营和保护的，这家公司从未资助过一分钱。”
这样的状况曾经继续了相当一段时间，不过当初曾经有人在思考这个问题，并给出了一些衡量的倡议。上周六，谷歌明码学家和 Go 语言平安负责人 Filippo Valsorda 在集体博客呐喊：开源我的项目维护者该当和那些应用软件的公司进行更业余的交换，以取得付费反对，使开源更具可持续性。
Filippo 指出一个问题：目前大多数开源我的项目维护者属于以下两类之一：志愿者或大公司员工，有时两者兼而有之，但这两种模式其实都不衰弱。一个胜利我的项目的一般维护者其实有资格成为高级软件工程师，这些人每年能够轻松赚取 15W-300W+ 美元的年薪，但当初他们的开源我的项目经济起源只有 GitHub Sponsors 和 Patreon（一个募捐网站），这是两种不庄重且不稳固的薪资起源。
而被聘为大厂的全职开源员工也并非上策，踏入公司的第一步你就成为了资本的一部分，随着主管和绩效组的“如何证实你的工作和工资相匹配？”开发者开始背上各种 KPI，被动或被动地卷，将越来越多的工夫花在致力证实本人的工作和价值都十分重要 —— 在这种压力之下，大部分开发者将逐步丢失对开源我的项目的激情，这种状况在多个公司和生态系统中一遍又一遍地演出。
综合目前的状况，Filippo 提出了一个新的观点：既然大公司须要我的项目供应链平安和品质达到规范，那么他们就有必要为应用的开源我的项目付费 —— 公司能够跟开源软件开发者建设合同关系，依照市场价的薪资领取，而后要求开发者保障我的项目的品质和破绽问题。反过来，我的项目的维护者依然能够自在地继续关注我的项目，优先思考我的项目的长期健康状况，并满足公司对我的项目的要求。
这种流程和生态的建设须要一些工夫，重点在于如何转变公司的态度 —— 公司，尤其是资本管制的上市企业，齐全没有为大型产品、我的项目和服务外围的开源组件付费的激情，它们只会在开源许可证和法律底线的条件下做利益最大化的事件，而不是“公平交易”。而目前风行的一些许可证，像 Apache、MIT，都是提供所有内容但要求的货色很少，更进一步满足了企业白嫖的需要。
目前世界 500 强企业所应用的许多重要的开源我的项目都由志愿者在上班后的业余时间保护，这些企业甚至连代码安全性都懒得审查和测试。开源维护者发明了大量价值，但简直满载而归，这种开源文化是无奈短暂继续的，是时候做出一些扭转了 —— 开源维护者这个角色该当成为一个真正的、有适当报酬的职业，而不是依赖寥寥无几的捐款的业余爱好者或者企业的收费劳动力。
题外话：
Log4j2 的开发者和维护者 Ralph Goers 在 GitHub 上仅有 3 名赞助者。
我是 Apache 软件基金会的成员，也是 Apache Commons、Apache Flume、Apache Logging Services 和 Apache Maven 的 PMC 成员。我创立了 Apache Log4j 2 的初始版本，并持续将我的大部分精力放在提供反对和改良上，以使 Apache Log4j 2 成为目前从事软件架构师全职工作的 Java 开发人员的最佳日志记录框架。我在业余时间从事 Log4j 和其余开源我的项目 ，我通常从事我最感兴趣的那些问题。 我始终幻想着全职从事开源工作，心愿您的反对能实现这一幻想。
近期热文举荐：
1.1,000+ 道 Java 面试题及答案整顿(2021 最新版)
2. 劲爆！Java 协程要来了。。。
3. 玩大了！Log4j 2.x 再爆雷。。。
4.Spring Boot 2.6 正式公布，一大波新个性。。
5.《Java 开发手册（嵩山版）》最新公布，速速下载！
感觉不错，别忘了顺手点赞 + 转发哦！