在选择开源软件时，我应该注意哪些警告标志？

Question

当比较开放源码项目与商业软件，甚至其他开放源码项目时，什么情况会引起危险，导致你按下弹出按钮，到其他地方去看？

Answer 1

开源

查看项目网站

• 看看这些文档
• 看邮件列表档案
• 看看SCM (svn、git、hg等)

在这样做的时候，请注意以下几点.

• 软件有多成熟？
• 用户基数是多少(很多人?3个人？)
• 谁是用户群中的人(公司、家庭用户、小企业等)
• 发展是否积极？它活跃了多久了？
• 邮件列表档案还泄露了大量关于开发人员“团队精神”的信息，以及其他内容。它看起来健康，充满敌意，无聊吗？
• 文件写得好吗？
• 该软件包/项目是否已被接受到任何发行版，如Fedora、Debian、RHEL、SLES、Ubuntu等？如果是这样的话--这是件好事--至少有一个以上的人对这个项目有信心。
• 该网站是否有适当的售票系统？如果是的话-从5年前开始有多少张票？这是项目如何“活”的另一个迹象。

此外，请确保您注意到软件分发所依据的许可证。有些可能不适合你的需要。

企业软件

除了.我没什么要说的了.

• 确保(不要问销售人员--他只是在撒谎)，应用程序不会以root的形式运行。特别是如果它要监听TCP/IP端口。*看看卖主的声誉
• 确保供应商知道管理此产品的人员(即不会被授予root访问权限)，因此该产品必须支持sudo。任何认为sudo不受支持的人通常只是老古董，但他们是供应商，他们将是那些必须支持你的人--你不想买这个产品，然后让他们告诉你“不，你不能使用sudo，你必须使用sudo。”
• 永远不要购买任何封闭的安全软件
• (主观)：...and从不相信销售代表所说的任何事情--他们都是骗子和蛇，没有例外。

Answer 2

• 缺乏活动。如果该项目没有发布新代码，那么显示大量未关闭的bug(或者非常老的bug，没有新的bug)，或者有具有很高垃圾邮件/帖子比率的用户论坛，这是一种腐朽的代码库的味道。活动的项目有定期的版本，提示新打开的bug不会超过关闭的旧版本，并且用户论坛具有日常活动。所有这三个方面对于保持代码的正常运行和良好释放、削弱以及调试/重构，形成一个完整的循环都是至关重要的。
• 活动与代码基的大小、复杂性和成熟度成正比。程序/项目越大，点发布越少，但是应该有一致的点发布流。对于一个像Samba这样的项目，有一个庞大的复杂代码库，一个月左右之后就会有点发布。对于gcc这样的项目来说，它是一个成熟的代码库，设计目标更加保守，点发布时间更长，但规模更大。在非常小数量的代码上快速移动的目标也显示出潜在的问题--可能是开发人员仍然在与bug作斗争，或者还没有编写所有的目标/特性。
• 源代码必须易于访问。直截了当地说，如果它是真正的开源，不应该有任何神奇的握手，巫毒的产品，或烛光咒语来看源代码。它是否可以通过CVS、SVN、Git、Mercurial甚至信鸽访问并不重要，前提是您可以在没有点击包装许可协议的情况下访问它。如果你签署了一份弃权书，NDA，或者同意了一些未知的许可计划，你不是在处理开源，而是在和一个已经同意向你开放他们的资源的商业供应商打交道--为了一个价格。

Answer 3

有很多，真的。

欺骗性许可-太多的解决方案试图镍和一角我的死亡。该软件包的费用X，但如果你想要广告的选项1，2和3，这将是$500-1500多每个选项。不用了谢谢。

没有人使用它--或者至少，谷歌找不到任何人谈论它。它要么是全新的(在这种情况下，你是一只豚鼠)，要么是如此糟糕，以至于每个人都更清楚

这是几个叉子的根源--如果某些东西被叉了很多次，可能有一个很好的理由，而且其中一个叉子可能比源代码更好地解决了这个问题。而是去调查那些。

一贯糟糕的界面设计-我指的不仅仅是GUI。疯狂的，身份不明的，或标记错误的CLI标志或选项使我发疯。

它不起作用--或者它假装一个需要解决的问题不存在(或者不存在)，因此不解决它