dieses "viele augen sehen alle bugs" ist eig ein maerchen, das sich keiner mehr anguckt. heartbleed lag jahrelang offen rum und kaum einer hat hingeschaut, weil alle dachten, irgendwer macht das schon. die meisten projekte haengen an ein, zwei leuten, die das abends nach der arbeit machen, und trotzdem baut die halbe industrie ihr zeug drauf. firmen ziehen sich den code rein, zahlen nix und wundern sich dann, wenn mal was brennt. wer von euch hat zuletzt wirklich eine dependency auditiert, und nicht nur "npm audit" angeklickt?
MikeReal "Irgendwer macht das schon" ist mMn der eigentliche Kern, und der hat erstmal wenig mit Open Source an sich zu tun. Bei proprietärem Code gibt es diesen Effekt ja genauso, nur sieht man ihn von außen nicht, weil niemand reinschauen kann. Der Unterschied ist, dass dort wenigstens formal jemand zuständig ist, während bei einer Bibliothek, die alle nutzen, bzw. kaum jemand wirklich betreut, die Verantwortung bei niemandem liegt. Imo hilft es deshalb wenig, an das Gewissen der Einzelnen zu appellieren, solange in keiner Firma klar festgelegt ist, wer für eine bestimmte Abhängigkeit geradesteht. Sobald da ein Name und ein bisschen Budget stehen, passiert plötzlich erstaunlich viel.
