最新的《自由與開源軟件普查報告》（Census III of Free and Open Source Software）揭示了開源組件在現代應用開發中扮演的關鍵角色。這份由哈佛商學院、哈佛大學創新科學實驗室（LISH）、Linux基金會研究部以及開源安全基金會（OpenSSF）聯合推出的報告，為我們提供了對當今軟件開發趨勢的深刻洞察。
與前兩次普查相比，此次研究不再局限于操作系統庫，而是深入探索了構成現代軟件基礎的應用程序級組件。通過對超過1萬家公司、涉及1200萬條FOSS使用數據的分析，報告描繪了一幅開源軟件使用的全面圖景。哈佛大學與Linux基金會的研究團隊與FOSSA、Snyk、Sonatype和Synopsis等軟件成分分析（SCA）公司合作，整合了多個平臺的匿名數據，確保了研究的全面性和準確性。
報告顯示，開源組件在代碼庫中的普及程度令人矚目，96%的代碼庫都包含開源組件，這進一步強調了開源軟件在數字經濟中的核心地位。然而，隨著開源軟件的廣泛應用，一些潛在的安全風險也逐漸顯現。
例如，一些行業仍然廣泛使用已經過時的Python 2版本，占比甚至高達20-30%。報告還發現，40%的頂級開源項目僅由一兩位開發者維護，這增加了項目受到社會工程學攻擊的風險，如XZ Utils事件所揭示的那樣。軟件組件缺乏標準化命名也是一個不容忽視的安全隱患。
除了安全風險，報告還指出了軟件開發模式的變化。云服務專用軟件包的使用量顯著增長，這表明軟件開發正在從傳統的“直接遷移”模式向“云原生開發”模式轉變。OpenSSF的開源供應鏈安全總監David Wheeler認為，這一趨勢反映了開發者正在為云環境和特定云服務構建應用，以適應日益增長的云原生需求。
為了應對這些挑戰，OpenSSF正在積極采取措施強化構建和分發流程。通過SLSA和Sigstore等項目，OpenSSF致力于確保代碼的安全性。同時，報告也為開發者提供了建議，包括簡化版本更新流程、優先考慮向后兼容性等，以降低安全風險并提升軟件質量。
總的來說，這份報告不僅揭示了開源軟件在現代應用中的廣泛應用和重要地位，還指出了軟件開發過程中存在的安全風險和模式變化。對于開發者而言，這是一份不可多得的寶貴資源，有助于他們更好地理解和應對當前的軟件開發環境。
