OSCAR 是开源产业大会，学术界、产业界独特探讨开源的应用、共享和治理等相干话题，2022 年的开源产业大会于 2022 年 9 月 16 日在北京胜利举办，大会上蚂蚁技术专家才楚做了对于蚂蚁开源治理的办法和实际主题分享，此文进行了一些总结。
1. 开源治理的必要性
用不必开源技术不再是个问题，如何用好开源技术才是，这是这些年来大家广泛的共识。利用云原生化之后，公布到线上的制品中超过 90% 的代码是非开发人员编写的代码，而是框架、组件、库等。研发的次要工作从「代码编写」进化到了「接口编排」，在大幅度晋升了效率的同时，开源技术的危险随着大规模自动化的继续交付流水线进入了线上生产环境。即便预先定位到某个组件的问题，影响剖析、稳定性保障、版本升级都是十分大的难题。
近年 fastjson、log4j 这些高危近程执行破绽，GPL 协定引起的诉讼等问题都阐明这类问题产生的偶然性，并且此类问题造成的损失非常微小，此前认为开源技术和收费技术是一回事的观点必须要摈弃了，尤其是对危险敏感的金融相干技术研发组织。
2. 数据驱动的治理
开源治理的难点次要在于没有数据：
- 在治理决策时，不分明用了哪些开源组件、不分明开源组件的开源危险现状是什么、不分明开源组件被谁在用
- 在治理执行时，开源治理规定没有中央对立治理、治理规定无奈动静散发、治理停顿无奈数据化跟踪
所以，咱们须要应用制造业供应链治理的理念：
- 对应用了哪些原材料须要有清单
- 这些原材料如果有品质问题则须要记录
- 晓得这些原材料哪些产品在用（便于交付前质检和交付后溯源、审计）
因而，开源治理时必须要达到的四指标：
- 晓得研发组织应用了哪些开源组件
- 晓得开源组件的危险剖析后果
- 晓得开源组件被哪些利用在应用
- 可能高效、精准地造成继续交付管控切面，必要时阻断
3. 开源治理的工具
数据驱动的治理的关键在于须要工具能在研发流动中，将危险通过研发工具透出给开发者，并辅助开发者解决。
4. 蚂蚁的治理实际
从治理决策登程，继续治理执行和治理评估，研发人员和治理规定定义者之间放弃继续迭代的关系，通过辅助工具，如 IDEA 自定义疾速查看性能和 SmartUnit 保障代码单元测试品质。
- 治理决策，基于现状定义治理指标、流程管控规定
- 治理执行，线上存量问题、线下增量问题联动治理
- 研发体验，尽量在研发最晚期提醒危险和辅助用户降级
在治理决策时，通过 10 个指标明确危险现状，定义治理头部组件 / 利用，定义出治理规定，这些清单数据来自于构建流动中通过 SCA 工具收集的数据，对立制品库对接开源组件危险剖析工具提供的接口，拿到危险剖析后果并以制品元数据的模式进行长久化，前端查问展现为数据大盘。
在治理执行时，治理规定对立治理，通过数据大盘能够理解到以后运行了哪些规定、规定分类、规定分级以及利用响应的状况等，这些数据可能和 Rule enforce 客户端互动，客户端在执行 enforce 的时候通过 API 从治理端拉取最新规定，在 IDEA 本地执行校验。
在开发者本地，通过 IDEA 自定义性能菜单的形式就能够疾速执行查看，当然命令行手动执行命令查看同样是反对的，在流水线中同样是反对的。这种动静规定的拉取是蚂蚁对 apache maven enforce plugin 进行了深度革新定制实现的，通过这个客户端能够透出降级操作指引给开发者，辅助开发者操作。