谁是 Webtatic 存储库的幕后推手，您信任它吗

Question

Webtatic 存储库有许多适用于 CentOS 和 RedHat 的有用软件包。然而，存储库非常不透明，我很难找到它背后的信息，“安德鲁汤普森”的一部分，在这里被称为安迪。

他似乎在提供所有这些有用的软件包方面做得很好。我需要在实时公司服务器上使用存储库，而使用非官方存储库会立即触发我的警报。

来自现实生活中的 CentOS/RedHat 管理员的反馈将不胜感激。

提前致谢

Answer 1

早在 8 年前我刚开始担任 Linux 管理员时，我曾经使用流行的第三方存储库来升级我的 LAMP 堆栈。它由一个人经营。主要原因之一是开发人员向我施压，要求我使用比 RHEL 5 更高的 PHP 版本。它最终让我感到厌烦。

该人放弃了存储库，因此我不再获得安全更新，但由于 PHP 的 RHEL 版本来自太旧的分支，因此我也无法删除所有较新的软件包并返回到 RHEL 软件包。迁移到该存储库的 LAMP 堆栈涉及至少六个或更多包。因此，维护这些包并不时手动重新编译它们将是一个主要的 PITA。

您也无法使用操作系统供应商关于 CVE 漏洞的安全公告来确定您的系统是否容易受到这些软件包的特定攻击。多年后，这证明对我来说是一个主要问题，即使我当时从未预料到。

因此，除了信任维护人员的诚信和技术技能外，您还必须问问自己是否相信他们不会继续从事不允许他们维护存储库的新工作，或者结婚生子而不再有时间等等....

从那以后，我对使用任何第三方存储库都感到非常不安，尤其是那些只有一个人运行它们的存储库。

Answer 2

问题不在于我们是否信任安迪，而在于你是否信任安迪。

我对存储库不熟悉，但捐赠按钮表明了个人的努力。如果它对您有价值，请随意贡献。

软件包看起来是 GnuPG 签名的，因此可以在一定程度上验证软件包的真实性。您还可以检查他是否在信任网络上。

关于质量或安全性，最好让其他人看看存储库的运行情况。这可能是你。订阅上游安全公告并检查它们是否受到影响。像 Fedora 审阅者一样评估软件包。

如果这些包的连续性对您很重要，请获取类似的技能。学习包装或聘请有能力的人。