深度对话：开源还自由吗？中国会有自己的开源基金会吗？

受访嘉宾

• 腾讯开源管理办公室 执行总监 许勇

• 腾讯开源管理办公室高级社区经理 于朵

• 腾讯云 TStack 产品总监 邬沛君

• 腾讯云 TStack 首席架构师 贺阮

• OpenStack 基金会创始人兼执行总监 Jonathan Bryce

• 英特尔全球系统软件产品副总裁 Mark Skarpness

Q：能不能介绍一下最近几年腾讯最成功的开源项目或者是决策工程流程？

许勇：你如果做对外开源，需要对外开源就需要部门的审核，再经过内部一些公示，还会进行法务审核和商标专利的审核，确定没有问题再上。当这些审核完了以后，基本上就可以对外发布，所以整个过程是大概 1 到 3 个月左右吧。腾讯现在目前最成功的开源项目可能微信生态有几个，这些项目都是非常受欢迎的项目，例如微信 UI 框架 WEUI，小程序开发框架 WePY，我们还有微服务框架 Tars，还有机器学习的 Angel 也是，都是非常受欢迎的。

于朵：我这边再做一点补充。今年开源管理办公室增加了两个环节，一个是审核代码的质量，遵守代码规范，然后第二件事就是我们的开源召集了很多腾讯内部的开源专家，这些专家在社区浸淫多年，经验非常丰富。我们会让他们对这些开源项目做一个培训、宣导。我们尽量加入更多的专家指导，种种环节都是为了让腾讯开源的那么多项目越来越好。我也想替记者问一个问题，Jonathan 如何评价腾讯在 OpenStack 的表现？

Jonathan：从开源基金会来说，有几方面都很重要，一方面是代码的贡献。另外一方面是对市场拓展，以及对用户的管理也是非常重要的。大家知道开源基金会在中国非常受欢迎，腾讯主要是提供这样的聚焦，提供方案，回馈给社区，使社区可以更好的发展，不光是社区这样一个环境发展，也是 OpenStack 在不同场景的发展，从而给社区带来更多。

Q：去年有一个行业报告，说开源的漏洞很多，所以我想了解一下腾讯对于防范漏洞做了什么工作？

许勇：其实说到开源组件，我们现在对外开源的组件占所有内部组件的比例接近 10%。关于开源组件漏洞，我们对外的开源项目一般经过严格安全的扫描，在开源项目上进行安全的审计。另外其实我们腾讯安全部也和外界的白帽子之间存在主动曝出漏洞的合作，希望把这些漏洞及时进行修复的工作，腾讯有专门的安全部门在支持开源项目关于漏洞方面的处理。

于朵：我们也非常重视开源协议的审核，保证是在法律程序上完备的。腾讯会对每个项目做第三方的扫描，对照相关开源协议，然后再去制订我们自己开源项目的开源协议，我觉得这样做不仅是在保证我们开源项目开出去的时候是不会损害公司利益，更多是保障其他开发者使用腾讯开源项目的时候不会被开源协议所影响。

Jonathan：我们组织 OpenStack 这样一个开源社区的最大目的，是希望把所有技术专家们整合在一起做一款非常优秀的软件。当企业们在开源社区中做这样的贡献，一方面他们会贡献代码、架构把新的技术实现。另外一方面企业把开源的模块进行商业化，也是一个巨大的贡献，这样可以聚集更多的需求。比如说 OpenStack，它的使用场景很多，不管从金融、从政府都会用到 OpenStack，是一个共同创建、共同使用的开源项目。关于安全的问题，其实业界有一个误解，认为开源的软件不安全，其实相反。怎么解释这个问题呢？大家可以想像一下开源软件是来自各公司的技术专家共同创造的，他们对安全的顾虑，代码审核的程度已经远远超过了传统商业软件审查的程度。腾讯的安全专家都会去看这些代码，看了这些代码可以更好地提高整个软件的安全，所以开源软件不安全完全是一个误解。从业界来说，开源软件比传统软件更安全。

Jonathan：其实有很多报告都说明了开源软件比一般的软件安全，为什么呢？打个比方，Linux 的内核被很多人看过，研究过，几乎所有公司使用之前都会审查其背后的安全问题，从这个角度来说它被审查的程度远远超过一般软件，自然安全程度也就更高。

Q：想问一下中国程序员工作相对饱和一些，他们对于中国市场的开拓上跟美国有没有什么差异？

Jonathan：（996？笑）首先的确是中国的程序员工作更多，也很忙，也很努力。OpenStack 基金会有一个统计，中国的贡献在全世界排名第二，仅次于美国。但我们看到，中国贡献者的代码并不多，这可能是一个文化和沟通方面的问题，所以基金会现在想了一个策略是怎么开拓中国开源社区的发展，他们所想到的策略是想更多第把中国开源贡献者整合到或者是加入到开源基金会中去做贡献。这就是为什么今年上半年在上海举办全球峰会，这个峰会主要的目的就是希望吸引更多的中国开发人员来参与开源基金会的发展，而为了更多促进中国的开发人员加入开源基金会的发展，基金会采用一个策略是带来更多开源基金会顶级的码农，通过这种方式来吸引更多开源贡献者。

Q：是不是他们在国内一般会选择像腾讯这样的大公司来合作？

Jonathan：主要是大公司对开源社区的贡献是一个非常显而易见的。因为这些公司的背景更强大，更有利于发展，所以说 OpenStack 基金会并不觉得这样一种大公司贡献开源基金是不好的事情。

Mark：英特尔在中国有数以百计的开源贡献者，我们觉得开源社区对整体业务是有帮助的，而英特尔也觉得有很多开发者去参与这样的开源社区，不光是对社区本身，对英特尔也是很好的事，所以我们号召更多的大公司共同参与开源社区建设。

Q：TStack 是不是跟英特尔有合作？

邬沛君：英特尔在开源这块跟腾讯云 TStack 团队有紧密合作，双方在共同推进 OpenStack 在全球发展上做了很多努力，比如共同促进 OpenStack 基金会 2019 年的峰会在中国召开；另外双方在社区开源项目中也有紧密合作，比如 DPDK、VXLAN、SSL Offload 等，促进了 OpenStack 开源生态更好的落地与应用。这些等等是技术细节方面的合作，这里我很难一一列举出来，因为很多点都太细了，只能说这个合作方位是全方位的合作。

Mark：我们跟腾讯有长期开源方面的合作，包括我们在 OpenStack 的合作，英特尔都会协助腾讯更多地参与到开源基金会的社区工作中，如何参与并做出更多的贡献，以及推动一些新的技术项目发展和拓展新的合作点。未来英特尔和腾讯会在开源社区中推进更多合作，比如双方正在探讨一个边缘计算的项目 StarlingX, 以及未来探索更多的合作点。

Q：开源一直代表一个趋势，我想问一下开源进入中国以后有没有发生一些变化？

许勇：从腾讯自身对开源的态度，发展过程来讲，其实 10 年以前整个腾讯公司低调的做自己的业务，包括伙伴、生态，开放以后其实对开源的影响很大，鼓励大家从手机内部去贡献内部的改向，从 15 年的态度就是给许多开源项目做贡献，包括与各种基金会深度合作去参与到开源工作中。其实对中国而言，整个开源社区发展对中国开发者来说最大的质疑是光用开源不做贡献。现在慢慢有所改变，包括腾讯、阿里等大型科技公司，中国开发者开始有意识地去贡献开源，去回馈社区，更积极地参与其中，这是我从整个中国开源开发者身上看到的。

Q：腾讯是包括 OpenStack 基金会在内的多个开源基金会白金会员，我想知道腾讯在这其中有没有为中国的开源，包括中国企业开源做一些工作？

许勇：其实我们在积极跟国际上的基金会进行一些合作，包括参与开源项目。除此之外，近一两年时间，包括中国的企业、个人和有关部门也组织了很多自主的国内开源社区，包括腾讯和几大企业参与。这在目前其实是一个探索过程。从我目前了解的进度来看，国内还没有特别确切的类似开源基金会的组织，但这会是一个趋势。腾讯也非常愿意，非常积极地参与中国国内的开源共工作。我们在不断地探索，不断地召集一些会议和行业、政府之间的探讨，如果有合适的机会，腾讯肯定很愿意去参与，这是我们的态度。

贺阮：我补充回答一下。去年 10 月份在深圳大学，有一个中国计算机研究学会的某会长，中国工程院院士提过这个话题。目前中国自己的开源基金会的核心问题不在企业，也不在社区，而在于整个行政流程，因为开源基金会这种模式以前在中国并没有经验可以参考，作为民间团体目前归民政部管理，这样的话其实从流程来说是走不通的，包括很多专家都在试图走这样的流程，企图成立一个中国开源的社区（但目前没有实质进展）。

Jonathan：开源真正给我们带来的是开源社区可以把不同公司、不同行业的技术专家组合在一起，做成一个非常棒的的团队来解决技术问题。整个开源过程是无边界、无国界的，换句话说不会因为你在哪个公司而改变这个态度，也不会因为你在哪个国家而改变对开源的态度，我们真正要做的是把最好的专家聚集在一起，不应该涉及其他方面的问题。OpenStack 基金会为了更多关心和开拓中国的社区，今年特意在上海成立了一个办事处，有一位专职的社区经理去解决中国的问题。整个开源基金会的目的是能把最好的专家聚集在一起解决一些问题，而不应该涉及国际的问题，OpenStack 也希望帮到整个中国开源社区和开发技术人员。最后重申一点是 OpenStack 这个开源项目是属于全世界的，并不属于一个公司，也不会属于一个国家。