开放与包容：中国开源崛起与发展的关键 | Q推荐

‍7 月 27 日晚上八点， InfoQ 主办了一场开源直播活动，活动由木兰开源社区运营负责人、NextArch 基金会 TOC 耿航主持，极狐 (GitLab) CEO 陈冉、CNCF 亚太区总监 Keith Chan、腾讯开源联盟主席单致豪以及开放原子开源基金会业务发展部部长朱其罡四位嘉宾围绕中国开源的现状和未来进行了分享。‍分享的议题主要从中国开源的现状、中国开源对全球开源的影响以及开源软件供应链安全等问题展开。

Sam（陈冉）

极狐 (GitLab) CEO 陈冉认为中国开源的现状需要从不同维度看，从时间维度看，中国是开源的长期参与实践者；从开源认知维度看，目前国内对于开源还有很多认知不到位的情况存在，从开源成熟度看，是处于相对早期的一个阶段；从开源商业看，如果以 IPO 成功为标准来衡量一个开源项目的成功，目前国内还没有这样的案例，因此开源商业也处于早期阶段；但是从政策维度看，是一个比较成熟的阶段，国家“十四五”规划以及各部门对于开源的发展都是比较重视的。因此，也可以看到这些年国内开源的发展取得了一定的发展，但是开源项目也集中在基础软件赛道，究其原因是因为基础软件赛道的商业模式比较清晰，生产者和消费者的关系也比较清晰，并且在国外也有很多成功的案例。

同时，陈冉认为中国开源的巨大潜力是中国几百万的开发者，这是其他国家无法匹敌的天然优势，这些开发者的力量是能够让中国开源有更多更好的发展，也为全球开源做出贡献。当然，前提是要打通产学研用的闭环体系，从高校开始推广开源、培养开源人才、构建开源生态。当然，开源不意味着是把代码开源出去，而是要深刻理解项目开源背后的逻辑，也就是这个项目到底解决了哪些痛点，能带来哪些价值，商业化的模式是怎样的等等，做到这些才能真正利用开源的方式孵化出优秀的开源项目，培养出优秀的开源人才，打造出成功的开源商业成功模式。

最后，陈冉表示，开源已经渗透到了各个企业，安全是不可忽视的一个重要话题，这两年国内就有开源相关的诉讼。如果保证开源软件供应链安全除了需要企业、组织协同，更重要的是能够在研发过程中嵌入安全手段，也就是现在我们常讲的 DevSecOps，在研发阶段就能做到 license 扫描、安全漏洞扫描等安全防护，进一步保障开源软件供应链安全。

陈冉也对中国开源寄予厚望，认为中国开源是任重而道远，而且会越来越好。

Mark（单致豪）

单致豪认为最近几年中国开源已经进入轨道，在快速发展，有三个特点：第一个，开发者数量在增加，从 GitHub 看中国的开发者已经达到 750 万；第二，已经从开源使用者到开源贡献者在转变，比如从 Linux 的内核的贡献看，中国开发者也是长期在前列，而且近些年也有很多中国人主导的项目开源出来；第三，开源技术在和产业进行结合，而且策层面的积极支持，也让开源渗透到了其他行业，比如工业领域。中国开源的快速发展也让中国开发者给全球很多顶级开源项目做了大量的贡献。为了进一步推动开源的发展，50 多家企业、组织联合发起了 NextArch 基金会，期望能够解决一些行业痛点（诸如异构多云）以及构建一个完整的开源生态。因此，总体来讲，中国开源的发展是能够全球开源带来一个正向的价值。

针对开源软件供应链安全问题，单致豪表示目前已经在跟网信办在做一些交流，也提出了一些建议：第一，从政策层面对开源软件的安全进行法律法规的保护；第二，成立开源委员会，定期跟踪和评估开源软件的供应链风险；第三，开展开源安全测试活动、设立漏洞挖掘激励，同时要对企业内部的人员进行免费的安全培训；第四，统一开源行业的安全目标，梳理 SBOM 并制定相应的流程；第五，对特定领域（诸如金融、电信、能源等）开展梳理和优化，将成功的经验复制到其他领域；第六，从开发者层面，需要投入资源通过设立行业标准来提高开发者贡献代码的质量。

单致豪也对中国开源寄予厚望，中国开源是众人拾材火焰高，中国的开源肯定会越来越好。

Keith（陈泽辉）

Keith 说从 LF 看国内的开源贡献增长是非常快的，从 CNCF 来看，国内的贡献已经排名第二了，捐赠的项目中来自国内的项目已经占到 25%，而且有部分项目在技术上是非常新颖的，比如混沌工程。从这个角度看，中国开源在技术方面的实力是毋庸置疑的，而且根据 GitHub 预测，中国将会是全世界开发者最多的国家。但是却存在由开源项目带动产业发展的问题，所以希望国内的企业能够一起，甚至竞争者之间也能够在开源的视角下一起共同发展产业，并且将整个生态构建起来。

同时，Keith 表示，国内外文化还是有一定的差异，比如国外习惯用 slack 去沟通，但是国内喜欢用微信。中国开源有绝对的技术实力，但是需要走出去，让中国的开源项目走向全世界，和全球进行协作，那这种情况下就需要去使用 slack 和国外进行沟通，要在一些国外比较著名的会议上去推广你的开源项目，让更多的国外人知道这个开源项目。当然，在推动中国开源和全球开源合作的过程中，Linux 基金会也在和其他组织一起合作，比如开放原子，将国内的项目推广到全世界，这其中就包括了前面 Mark（单致豪）提到的 NextArch 基金会。

针对开源软件供应链安全问题，Keith 提到了 OpenSSF，这是 Linux 基金会下面的一个子基金会，成立于去年，致力于开源软件供应链安全的保障。目前投入了很大精力来做开源安全，比如找一些已经非常普及而且经常使用的开源项目，去挖掘、发现这些项目里面的漏洞然后推出补丁，从而保障这些重点开源项目的开源安全。OpenSSF 也有一个最佳实践工作组，告诉大家一些关于安全的最佳实践。开源安全是一个很大的事情，需要很多国家、组织、企业一些协同把这件事情做好，这也是 OpenSSF 的愿景。

朱其罡

朱其罡表示，虽然开放原子在国内的法律法规下成立一年多时间，但是发展是非常迅速的，比如近期在北京举行的开放原子开源峰会，报名人数就超出了他的想象，这在疫情期间是非常不可思议的。另外，从基金会托管的项目看，基金会也是在多个维度来吸收托管不同的项目，诸如 EDA、CAD、自动驾驶等等。国内开源的发展积累了二三十年，目前正在逐步进入状态。另外对于开放原子基金会，虽然是成立于国内，但是却是立足全球的，从成立一开始就是拥抱全球的，主要目的就是提升国内开源在国际上的开源贡献度目前也是积极在和其他基金会一起做一些协同合作。对于开放原子基金会来讲，在国内推广开源文化也是一份义不容辞的责任，所以开放原子和很多组织都有合作，甚至包括高校，从这些方面入手去推动开源的发展。

对于企业如何拥抱开源，或者说是如何决定哪些项目应该开源，朱其罡认为一般是一些具有公共属性的组件或者软件是比较适合开源的，因为这些项目开源出来比较容易能让别人来一起共建，而且参与的积极性也高一点。

针对开源软件供应链安全问题，朱其罡表示，OpenSSF 是一个非常好的榜样，做了很多规范方面的工作，而且这个设计也是非常棒的。实际上开放原子也非常重视安全这一部分，在开源安全这方面也在考虑成了一个开源安全委员会，从工具、流程、机制层面来推动开源安全的发展。

对于中国开源未来发展的寄语，朱其罡表示希望开源能为社会创新提供土壤，通过开源来引发大量的社会创新，从而帮助到更多的人。