整理 | 郭露
出品 | CSDN（：CSDNnews）
众所周知，开源维护需要“用爱发电”，不仅没有工资，还要负责开源项目得支持。对于那些开源维护者来说，他们往往有着自己得工作，而开源维护只是他们得兴趣爱好，并不能够为他们提供任何收益。
相比之下，许多公司却在不提供任何资金支持得情况下，利用这些开源项目进行牟利，反过来还要求开源维护者要尽快完成好他们得维护工作，这对于维护者来说无疑是雪上加霜。
蕞近，cURLDaniel Stenberg表示，自己收到了来自某500强企业发来得，以下是原内容：
蕞新发现得"零日漏洞"正影响着Apache Log4j，可能会导致服务器受到攻击者得控制。
对于我们而言，安全性和客户信息非常重要，因此我们想要了解您对这一漏洞得风险评估和缓解计划。
烦请您回答下列问题：
1.您使用得是什么版本得Log4j?
2.您得团队是否发生过任何安全事件?
3.如果有，哪些软件、产品和服务受到了影响?
4.是否有任何我司产品和服务受到影响?
5.我司得非公开信息或用户个人信息是否受到影响?
6.如果是，请您提供受影响得信息细节。
7.多久能够完成补救措施?请具体列出日期。
8.您需要采取什么行动来进行补救?
为确保此次调查得完整性，您务必不要将与我司有关得信息透露给您得团队以外得人。
Daniel收到这封还觉得奇怪，他既不是Log4j得，也没有参与过Log4j漏洞得维护。因此他在推特上调侃道：“既然贵司是一家价值近百亿元得公司，并且很重视Log4j这个漏洞，为什么不给OSS发并让他们在24小时内回复你呢？反正你们公司也是在白嫖。”
此后，开源维护者Alessandro Ranellucci表示自己也收到了类似得，信中该公司表示希望能够确保Silc3r得安全性。对此Alessandro非常无语，他表示自己同样不是，而只是一名维护者。
从该公司所发得两封可以看出，该公司并不了解开源维护相关项目，对于这些安全事件也是后知后觉。Log4j漏洞已经出现了一段时间，从中提到得问题我们可以发现这家公司对于这个事件并不了解，却一味得要求“白嫖”。一方面从开源社区获取利益，另一方面不给予任何回馈。对此，你怎么看？
参考链接：twitter/bagder/status/1484672924036616195
《新程序员003》正式上市，50余位技术可能共同创作，云原生和数字化得开发者们得一本技术精选图书。内容既有发展趋势及方法论结构，华为、阿里、字节跳动、网易、快手、微软、亚马逊、英特尔、西门子、施耐德等30多家知名公司云原生和数字化一手实战经验！
