OSCAR 分享之蚂蚁开源治理的方法和实践

OSCAR 是开源产业大会，学术界、产业界共同探讨开源的使用、共享和治理等相关话题，2022 年的开源产业大会于 2022 年 9 月 16 日在北京成功举办，大会上蚂蚁技术专家才楚做了关于蚂蚁开源治理的方法和实践主题分享，此文进行了一些总结。

1.开源治理的必要性

用不用开源技术不再是个问题，如何用好开源技术才是，这是这些年来大家普遍的共识。应用云原生化之后，发布到线上的制品中超过 90% 的代码是非开发人员编写的代码，而是框架、组件、库等。研发的主要工作从「代码编写」进化到了「接口编排」，在大幅度提升了效率的同时，开源技术的风险随着大规模自动化的持续交付流水线进入了线上生产环境。即使事后定位到某个组件的问题，影响分析、稳定性保障、版本升级都是非常大的难题。

近年 fastjson、log4j 这些高危远程执行漏洞，GPL 协议引起的诉讼等问题都说明这类问题发生的必然性，并且此类问题造成的损失十分巨大，此前认为开源技术和免费技术是一回事的观点必须要抛弃了，尤其是对风险敏感的金融相关技术研发组织。

2.数据驱动的治理

开源治理的难点主要在于没有数据：

• 在治理决策时，不清楚用了哪些开源组件、不清楚开源组件的开源风险现状是什么、不清楚开源组件被谁在用
• 在治理执行时，开源治理规则没有地方统一管理、治理规则无法动态分发、治理进展无法数据化跟踪