- URL: https://calpaterson.com/deps.html
- Added At: 2026-04-19 13:11:16
- Tags: #read #security
文章批评“依赖冷却期”策略将用户变为免费测试者，存在搭便车问题且实施复杂。作者提出“中央上传队列”作为替代方案，通过分离发布与分发来增强安全，尤其适用于AI领域。该方案成本可控，比冷却期更公平有效。
文章标题：依赖冷却期让你成为搭便车者
文章批评了当前流行的“依赖冷却期”（dependency cooldowns）策略，认为它虽然对个人有一定好处，但对整个生态系统有害。作者指出，依赖冷却期本质上是让未配置冷却期的用户充当免费测试者，从而发现恶意包，这构成了“搭便车”问题。此外，该策略实施复杂，需要多个包管理器和项目配合，且容易因人为疏忽而失效。
作者提出替代方案：中央上传队列（upload queue）。上传队列将包的“发布”（上传到中央索引）与“分发”（向公众提供）分离，新包需等待一段时间才能分发。在此期间，可进行安全扫描、公开差异对比和自愿测试。上传队列避免了依赖冷却期的缺点，无需个人配置，保护所有用户，并减少意外发布风险。
文章还强调，上传队列对AI领域尤为重要，因为AI代理可能使用Markdown文件作为可执行格式，面临供应链攻击风险。作者建议在AI代理系统中实施双重上传队列，由审核员和代理所有者共同审查。
关于资金问题，作者认为上传队列成本可控，可借鉴Debian的经验，并通过为商业项目提供加急审核服务来交叉资助安全团队。
总之，作者认为依赖冷却期是个人理性但集体荒谬的做法，而上传队列是更公平、有效的解决方案。