研究：23个核心开源项目中11个仅由一两人维护

你手机上的每一条闹钟、登机牌和日历邀请，都依赖一个文本文件，里面装着政府历来公布过的所有时钟规则。UCLA的一位讲师Paul Eggert在业余时间维护着这个文件，而至少四十亿部Android手机和iPhone都在读取它。他是一名开源维护者，而处在他这个位置上的人远不止他一个。

每次安全事件之后都会被贴出来的那张xkcd漫画，编号2347，画着一座现代基础设施的高塔，平衡在一小块之上，而那一小块由一个人默默维护、无人致谢。一位化名u/Mastbubbles的Reddit用户决定检验一下这幅画离真相有多近。他们下载了手机、浏览器和服务器所依赖的23个项目的完整历史，统计了过去一年中做出十次及以上改动的人，并把结果以《撑起互联网的人们》为题发布在sheets.works上。这个帖子在r/linux上第一天就收获了约1100个赞。

23个项目中有11个是由一两个人做日常工作。本文余下部分会讲这些人是谁、有多少钱流到他们手里，以及r/linux在哪些地方对这些数字提出了质疑。

作者取来每个项目的完整公开历史，保留2025年10月7日至2026年10月7日之间写下的改动，剔除合并提交和机器人。在这个时间窗口内改动达到十次及以上的人，就算作常规贡献者。在资金方面，“无公开资助”指的是没有来自Sovereign Tech Agency、Alpha-Omega、Open Collective或GitHub Sponsors的钱。这并不意味着从来没有人付钱给这些人。文末的局限性一节会讲这个方法漏掉了什么。

住在芬兰的Lasse Collin维护着xz，这个压缩工具几乎每台Linux服务器上都有。2022年6月，他在邮件列表上说，这是一个无偿的业余项目，而他跟上进度的能力有限，主要原因是长期的心理健康问题。在此前的数月里，自称Jigar Kumar和Dennis Ens的账号一直在公开抱怨进展太慢，而一位名叫Jia Tan的贡献者则发来了有用的补丁。Collin给了Jia Tan更多权限。

到2023年，Jia Tan做出的改动已经超过Collin，304次对172次。2024年2月，Jia Tan发布的版本里带了一条潜入Linux服务器的隐蔽通道。微软工程师Andres Freund在3月29日发现了它，因为他的SSH登录占用的处理器时间超出了应有水平，而那时大多数Linux系统还没发布这个版本。进入sshd的路径经由各发行版的补丁：有几个发行版把OpenSSH链接到libsystemd，而libsystemd会引入liblzma，后者是xz的一部分。至今没有人查出Jia Tan是谁。

Collin又回到了独自一人。2025年xz的改动有97%是他写的，而2026年这个项目只有一个常规贡献者。分析发现，后门事件之后并没有新的资金进来，这与OpenSSL在Heartbleed之后的情况正好相反（下文还会细说）。

Eggert自2012年起就是时区文件的官方协调人，同时在UCLA教授计算机科学。Android、iOS和大多数服务器都读取这个文件来确定本地时间。9月29日发布的2026e版，开头就是Manitoba于10月31日转入永久-05时区，这告诉Winnipeg的手机不要在11月1日把时钟拨回去。

在过去一年对该文件做出的251次改动中，Eggert做了218次，Tim Parenti做了28次。2020年，Eggert请邮件列表让Parenti做他的后备，以防退休或其他什么事让他无法继续。

这份工作也带来过法律风险。2011年，一家占星软件公司起诉了Eggert和Arthur David Olson——后者于1986年在National Institutes of Health创建了这个数据库——声称其部分历史数据来自该公司拥有的一本地图册。邮件列表和下载站点一度下线，直到同月晚些时候IANA接手。Electronic Frontier Foundation免费为两人辩护，该公司于2012年2月撤诉。如今Eggert没有赞助页面，分析也没有发现这个项目获得过公开资助。

Todd C. Miller从1990年代初起就维护着sudo，这条命令让你在Mac或Linux服务器上获得管理员权限。这个工具本身可以追溯到约1980年的SUNY Buffalo。分析发现，2008年至2018年间的5409次改动中有5408次是Miller做的。

2026年2月，他在自己的网站上写道，他“正在寻找赞助者”来维持sudo的维护和开发。在The Register报道了这则说明之后，该项目的Open Collective预算达到每年约61,700美元，并有30人在GitHub上赞助它。这使sudo成为这份统计中资金最充足的单人项目，而这在很大程度上说明了名单上其余项目的情况。

Chet Ramey从大约1990年起就维护着bash——Linux上的shell，以及2003年至2019年Mac上的shell。他是边做俄亥俄州Case Western Reserve University网络组的工作边做这件事的。2014年9月，Stéphane Chazelas报告了一个漏洞，它让任何人都能通过向服务器发送特制文本而在其上运行命令。该漏洞于9月24日以Shellshock之名公开，波及数亿台机器。而埋下它的那行代码早在1989年8月5日就进入了bash。分析发现，bash公开历史中的每一处改动上都有Ramey的名字，包括官方修复。

名单上并非每个项目都靠一个人运转。Daniel Stenberg于1996年在瑞典创建了curl，如今它为手机、汽车、电视和Windows传输数据，Windows自2018年起就内置了它。今年有11个人在curl上做日常工作，Stenberg在他对2025年的回顾中写道，其他人如今为它添加的代码行数已经超过了他。他全职做这件事，因为有公司为支持付费。该项目还通过Open Collective每年获得约89,700美元，Stenberg在GitHub上有64位赞助者，德国的Sovereign Tech Agency为它的工作支付了195,000欧元。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）