原始碼公開讓更多人有機會檢查，但「有機會檢查」不等於「已經有人檢查」。xz 後門事件說明，供應鏈安全還需要依賴盤點、簽章、可重現建置、雙人審查、發布權限管理、漏洞通報與維護者支援。專案也應避免把安全責任完全丟給少數志願者。透明度是一項資安資產，但只有搭配資源、流程和責任分工，才能轉化為實際安全。
思與行
- 把這個命題拿到一個具體專案或組織中檢驗：目前的規則、權限、資源與實際使用者經驗是否一致？
- 遇到相反案例時，記錄適用條件，避免將原則變成口號。
參考
- 延伸依據：xz後門事件顯示開源透明不能取代供應鏈風險管理。
- 延伸依據：維護者的隱形勞動是數位基礎設施的一部分。
- 延伸依據：軟體物料清單。
脈絡：開源社群治理與永續概念地圖 · Open_source。