继宣布推出一个为开源项目安全性“打分”的 Scorecards 项目后,谷歌方面又宣布推出了一个衡量开源项目“重要性”的项目 — Criticality Score,可以就项目的“关键性”进行打分。
谷歌方面表示,其推出这一项目的原因在于,开源软件长期以来一直遭受着“公地悲剧(tragedy of the commons)”的问题。大多数组织,无论大小,每天都在利用开源软件来构建现代产品,但许多开源软件项目却正在为获得所需的时间、资源和关注而苦恼。
为了确定项目所需要的资金以及发展所需要的援助,谷歌和其他 OpenSSF 成员共同提出了“Criticality Score”,以 0 到 1 的指标来表示项目的关键性。这个分数是根据各种项目使用指标得出的,比如 "一个项目的年龄、参与的个人贡献者和组织的数量、用户参与度(以新问题请求和更新为例),以及使用 commit mentions 粗略估计其依赖性"。同时,用户还可以添加自己的指标。例如,可以添加内部项目使用情况数据,以针对个性化优先级需求重新调整项目的关键性评分。
不过,大众对谷歌这一项目的反馈貌似并不尽如人意。一位名为 Chris'Axolotls'Stead 的开发者表示,自己体验了解了一下谷歌的 Criticality Score 项目,但是结果令人很失望。他认为 Criticality Score 给出的结果并不足够准确,“React 是现代网络的重要组成部分。我们需要的是洞察那些对 React 工作至关重要的小库。如:left-pad。”
Hacker News 也有一个相关的主题帖,其中列出了一些语言得分排名前十的的项目。具体如下:
- Python:salt、core、pandas、scikit-learn、numpy、airflow、erpnext、matplotlib、pytest 和 pip
- Rust:servo、cargo、rust-clippy、tokio、rust-analyzer、tock、tikv、alacritty、libc 和 substrate
- JS:node、react-native、react、gatsby、three.js、bootstrap、material-ui、odoo、next.js 和 Rocket.Chat
- Java:elasticsearch、flink、pring-boot、hadoop、netty、jenkins、beam、bazel、alluxio 和 pmd
- C++:tensorflow、ceph、pytorch、bitcoin、electron、Marlin、Cataclysm-DDA、llvm-project、rocksdb 和 QGIS
- C:git、 linux 、linux、php-src、openssl、systemd、curl、u-boot、qemu 和 mbed-os
针对这一排名结果,一些人也提出了自己的异议。他们认为,Criticality Score 的打分结果并不够客观公正。对此,Criticality Score 的创建者之一 Abhishek Arya 则回应称,该项目仍处于初始阶段,欢迎大家反馈 "任何关于我们可以使用的指标的想法"。Arya 还指出,该项目目前仅限于对托管在 GitHub 上的开源项目进行排名,但"在不久的将来会扩展到我们的源码控制系统"。
谷歌方面也表示,Criticality Score 项目还不够完善。他们希望能够得到社区的帮助,完善这些打分指标,以识别关键的开源项目。
猜你喜欢: