pnpm 关闭私密漏洞披露渠道遭 Ruff 作者批评

pnpm 作者 zkochan 决定关闭私密漏洞报告渠道，引发开源生态安全披露机制之争。Ruff 作者 charliermarsh 强烈批评该决定，指出用户和生态在漏洞报告到修复之间将持续暴露于风险，并称“没有哪个成熟项目不支持私密披露渠道”。他建议除非另有公开宣传的负责任披露机制（如专门邮箱），否则不应关闭该功能，否则等于把漏洞推迟到公开时才暴露。

2026-10-05 ~ 2026-10-05 · 2 条相关