今天， TypeScript 開發(fā)者 Resynth 發(fā)文稱，代碼托管服務(wù) GitHub 的全部源代碼被泄露。他表示，在向官方 GitHub DMCA 提交的可疑文件中，一個(gè)身份不明的人利用 GitHub 應(yīng)用程序中的一個(gè)漏洞冒充 GitHub CEO Nat Friedman 上傳了機(jī)密源代碼。

疑似泄露代碼地址：

隨后，Nat Friedman 迅速在 Hackernews 的帖子上做了回復(fù)。他表示 GitHub 沒(méi)有被黑客入侵，一切都很正常。所謂泄露的代碼是幾個(gè)月前他們意外地將 GitHub Enterprise Server 源代碼未脫敏 / 混淆的 tarball 交付給了一些客戶。

有開發(fā)者指出，此次泄露事件與 GitHub 上周下架 youtube-dl 和后續(xù)一系列動(dòng)作有關(guān)，開發(fā)者用這種方式來(lái)進(jìn)行抗?fàn)帯?/p>

上周五，在應(yīng)美國(guó)唱片業(yè)協(xié)會(huì)（RIAA）的要求下， GitHub 下架了平臺(tái)上最受歡迎的項(xiàng)目之一：下載器項(xiàng)目 YouTube-dl ?。但 RIAA 的禁令起到了相反的效果，很多開發(fā)人員開始對(duì)此表示抗議，并發(fā)布了更多代碼副本。事件發(fā)生以前，在 GitHub 上搜索 Youtube-dl 相關(guān)的項(xiàng)目只有 20 多個(gè)，而現(xiàn)在至少能搜出 4100 多個(gè)。

其實(shí)對(duì)于 GitHub 來(lái)說(shuō)，封禁項(xiàng)目不是什么新鮮事。

去年 5 月，GitHub 更新了用戶協(xié)議，表明 GitHub 的產(chǎn)品和服務(wù)適用于美國(guó)出口管制法律。當(dāng)年 7 月起，GitHub 基于美國(guó)出口管理?xiàng)l例，開始對(duì)伊朗、敘利亞和克里米亞的私人 repo 和付費(fèi)賬戶實(shí)施限制。

從克里米亞地區(qū)的俄羅斯籍開發(fā)者到全部伊朗境內(nèi)開發(fā)者再到定居芬蘭的伊朗籍開發(fā)者，統(tǒng)統(tǒng)遭遇了賬號(hào)被封無(wú)法創(chuàng)建私有庫(kù)、已經(jīng)創(chuàng)建的私有庫(kù)被關(guān)閉等問(wèn)題。而這些開發(fā)者并未得到 GitHub 提前通知，沒(méi)有任何緩沖備份的時(shí)間。

今年 3 月份，GitHub 封禁了一個(gè)屬于微軟的前端開源項(xiàng)目 Aurelia，理由是項(xiàng)目中有兩名來(lái)自伊朗的外部貢獻(xiàn)者。Aurelia 是微軟開發(fā)的 JavaScript 框架，已開源了 5 年。

這再次引發(fā)了開發(fā)者們的質(zhì)疑：GitHub 封禁項(xiàng)目是否太隨意？這難道不是與開源精神背道而馳？

事件不斷發(fā)酵，GitHub CEO 不得不對(duì)此事進(jìn)行道歉：關(guān)閉此帳戶顯然是一個(gè)可怕的錯(cuò)誤。我們正在調(diào)查具體過(guò)程，并更改規(guī)則以確保此類問(wèn)題不會(huì)再次發(fā)生。當(dāng)然這一聲明并沒(méi)有阻止封禁事件的再次發(fā)生。

此事也引發(fā)了后續(xù)的一個(gè)討論：GitHub 上的技術(shù)是各國(guó)志愿者撰寫并無(wú)償分享，并非美國(guó)購(gòu)買有著作權(quán)的所有物，美國(guó)無(wú)權(quán)拿不屬于自己的東西制裁別人甚至“拿伊朗的技術(shù)制裁伊朗”。GitHub 最后在爭(zhēng)議下覺(jué)得有所理虧而改變作法，被封禁的用戶可以下載回自己的作品，但依然不能在社區(qū)里查看代碼。

但無(wú)數(shù)開發(fā)者已經(jīng)深刻的意識(shí)到，被微軟收購(gòu)后的 GitHub 說(shuō)到底還是一家美國(guó)企業(yè)。開源雖然無(wú)國(guó)界，但 GitHub 卻是有國(guó)界的。有趣的是，GitHub 今年初發(fā)布的《八度宇宙狀態(tài)》報(bào)告顯示，截止 2019 年，GitHub 上共有 4000 萬(wàn)名開發(fā)者，而 80％的代碼貢獻(xiàn)者來(lái)自美國(guó)以外的地區(qū)。

“GitHub 本身不是開源的，這使我永遠(yuǎn)不滿意?！庇虚_發(fā)者表示。

這次 GitHub 源代碼疑似泄露事件，刺激了開發(fā)者對(duì) GitHub 的討論：既然源代碼如此容易就可以獲得，為什么 GitHub 不開源？

大家將 GitHub 不開源的原因歸結(jié)到其本質(zhì)上是一家商業(yè)公司。GitHub 的主要目標(biāo)客戶是企業(yè)，他們關(guān)心合法性。獲取非法源代碼很容易，他們的客戶不會(huì)冒這個(gè)險(xiǎn)。同時(shí)，如果 GitHub 只是轉(zhuǎn)儲(chǔ)了代碼庫(kù)但對(duì)錯(cuò)誤報(bào)告響應(yīng)很慢，那將很不利于他們的公關(guān)形象。開源不僅需要源代碼，還需要更多。

被封禁賬戶的俄羅斯研發(fā)人員 Nikolay 表示：“GitHub 雖然是一個(gè)開源社區(qū)，但更是一個(gè)商業(yè)公司。對(duì)外形象和求穩(wěn)才是他們真正在意的吧。只要有人施壓，他們可以輕易處置任何人。”

也有支持者認(rèn)為，GitHub 的價(jià)值在于分享思想，而不是任何明智的代碼。一直以來(lái)，GitHub 都是托管開源項(xiàng)目的最佳選擇，但自從被微軟收購(gòu)后，它一直無(wú)法擺脫商業(yè)公司的標(biāo)簽。

獵豹移動(dòng)董事長(zhǎng)兼 CEO 傅盛曾在一次演講中說(shuō)：你把一個(gè) App 放在網(wǎng)絡(luò)上，可以讓幾十億人下載，讓全世界的人知道你。時(shí)過(guò)境遷，谷歌、蘋果、Facebook 這樣超大平臺(tái)的出現(xiàn)，使得事情又走向了另一個(gè)極端。當(dāng)涉及到各種商業(yè)利益和社會(huì)因素的時(shí)候，它們同樣可以在一天內(nèi)讓幾十億的用戶完全接觸不到你，讓你建立的基業(yè)瞬間湮滅——這就是壟斷平臺(tái)的力量。

這句話放在 GitHub 身上，同樣適用。

從 2008 年正式上線至今，GitHub ? ?已經(jīng)成為全球最大的社交編程及代碼托管網(wǎng)站，但最受歡迎并不代表全部。GitHub 自身也會(huì)面臨很多外部問(wèn)題。

2013 年 1 月，GitHub 突然疑似遭遇 DDOS 攻擊，訪問(wèn)大幅放緩。經(jīng)過(guò)網(wǎng)站管理員查詢?nèi)罩景l(fā)現(xiàn)，是來(lái)自 12306 的搶票插件用戶洪水般的訪問(wèn)導(dǎo)致 GitHub 出現(xiàn)問(wèn)題。2019 年 5 月，《個(gè)人電腦雜志》網(wǎng)站報(bào)道，GitHub 遭到一名黑客入侵。據(jù)稱，這名黑客先擦除代碼資源庫(kù)，然后作為恢復(fù)數(shù)據(jù)的交換向用戶所要贖金。

最近，Github 被發(fā)現(xiàn)存在一個(gè)高危漏洞，基本上所有擁有復(fù)雜 Github Actions 的項(xiàng)目都容易被攻擊。這讓 Github 的安全性也遭到質(zhì)疑。

GitHub 能夠跟開源劃等號(hào)嗎？肯定不能。

延伸閱讀：

https://resynth1943.net/articles/github-source-code-leak/

喜歡本文的朋友，歡迎關(guān)注公眾號(hào)?程序員小灰，收看更多精彩內(nèi)容

       

        

         

          

           

            

             

              
             
             

              點(diǎn)個(gè)[在看]，是對(duì)小灰最大的支持！