Sustainable Package Registries: Supply Chain Funding & Compliance Risk

漏洞概述 页面内容主要讨论可持续包注册表（Sustainable Package Registries），而非传统意义上的安全漏洞（CVE）。 核心问题：当前公共包注册表（如 PyPI、Maven Central、npm、NuGet 等）的资金模式不可持续，面临安全、合规性和开发者体验方面的挑战。 关键风险：注册表是软件供应链的关键基础设施，若缺乏稳定资金，将影响其规模、可用性、安全性和可观测性。 影响范围 受影响系统：所有依赖公共包注册表的组织（企业、开发者、维护者）。 具体影响： - 注册表需承担安全扫描、恶意组件检测、合规审计等成本。 - 缺乏资金将导致服务降级、安全能力不足，进而影响整个软件供应链。 - 企业用户需参与资金模式改革，以保障注册表长期稳定运行。 修复方案 企业承诺：签署方（Arm、Dell、GitHub、Google、IBM、Microsoft 等）承诺： - 支持免费访问：为个人开发者和小型组织保留免费使用。 - 支持基于企业用量的资金模型：企业应为其消费/镜像/重分发行为按比例出资。 - 将注册表视为商业支出：注册表费用应作为投资，而非成本。 - 支持演进中的模型：允许注册表实验不同可持续性模式。 - 尊重注册表自治权：各注册表可自行选择其可持续性路径。 协作机制：通过 Linux 基金会下的“Sustaining Package Registries Working Group”协调跨注册表合作，分享最佳实践与可持续资金模式。 参与方式：访问 GitHub 工作组仓库： POC / 利用代码 页面中未包含任何 POC 或利用代码块。

Goal Reached Thanks to every supporter — we hit 100%!

Sustainable Package Registries: Supply Chain Funding & Compliance Risk