JSConf EU 2019大会上，前npm CTO CJ Silverio发表了名为“npm economy”的演讲，讲述了npm从一个开源项目发展为私营企业的前世今生，批判了npm公司唯利是图的本性，并发布了名为Entropic的去中心化开源包管理库解决方案。演讲内容全文编译如下。

这是一个悲伤的故事。

谁在掌控JavaScript语言的公共资源？为什么事情会变成这样？为什么我们需要改变这种状况？这是一段关于JavaScript的故事，但其中到处都是金钱和权力的味道。

我要讲的是我自己的所见所闻。我并非全知全能，也有自己的偏见，所以别人关于这段故事也会有不同的看法。但我作为亲历者可以带给大家一个很好的视角。我曾身处漩涡中心，直到去年我都是运营Javascript包管理库npm公司首席技术官，所以我在这方面拥有的专业认知是非常少见的。这个故事中也会包含我自己的观点和看法，听众需要时刻谨记这一点。

这是关于Javascript包管理的故事，你们也是其中的一部分，但我觉得你们肯定没意识到这一点。听到最后你们就会知道它的原因和意义所在。

我会谈到金钱，谈到那些有钱人，以及那些自己并非开源软件作者却能从中牟利的人们的套路。故事的开端是你们的无心插柳与我自己的有意为之，这些有意无意的决定影响至今。我要讲的是所有权、控制权，以及它们所带来的种种后果。

这也是一场关于权力的大戏——谁在掌权？你们有多少权力？权力又能用来做些什么？

npm最初的故事

很久很久以前，在21世纪头一个十年的中期，如今没落的雅虎公司彼时如日中天。雅虎身处当时众多JS活动的核心位置，聘请了许多Javascript思想领袖，如Douglas Crockford等，并推动了诸多前沿技术的发展。雅虎的商业战略可能不是很好，但却有一个优秀的技术栈。

雅虎的技术栈中有一个名为ypm的软件包管理器，有一些出色的特性。

当时Javascript语言越来越有吸引力，这要归功于jquery和遵循统一规范的现代浏览器。服务端Javascript是个热门话题，那时有几个项目正在试图实现这一目标。

JSConfEU会议曾是服务端JS浪潮的舞台。2009年JSConfEU大会上，Ryan Dahl发布了node.js。

node.js成为了理想的服务端Javascript平台。早期的node社区高手遍地，他们呼吸着技术前沿的甜美空气，尽情探索这一全新生态的诸多未知领域。一些node先驱者发现node很需要包管理系统，开始编写包管理器——是的，那时有好几家产品互相竞争。

其中一位先驱是雅虎的员工，当时刚开始接触node。他辞掉了工作，这样就能参考Yahoo的包管理器写针对node.js的开源实现了。他的智慧体现在几个方面：他深入参与了node项目，于是就能参与起草node中CommonJS模块的规范。他还做了一些事情来取得领先地位，比如让一些项目对他的包管理器发出请求之类。

这个包管理器表现很出色，得到了node内部的充分支持，于是赢得了竞赛。node包管理器，也就是npm，开始与node打包在一起发布，从此无需单独下载。这一官方支持的地位延续至今。

然后在某一天，Joyent花了一笔小钱从Ryan Dahl手中收购了node。

这就是资本主义的故事。每天有几百万人使用node.js这项工具开发Javascript，而它的发明者获得的收益只有几万美元。不管今天谁从node中赚得盆满钵满，他们都不是当初那位养蚕人。Ryan Dahl倒是因此有了一份工作，雇主就是Joyent。（这里要提一下，有人说Dahl拿的钱不止几万块，那么短期来看交易还算不错，但长期来看还是亏大发了。）

编写npm的程序员也被Joyent雇来参与node的业务——但注意这里的伏笔——他保留了npmjs.org域名、npm源代码以及他自己所有发明的知识产权。他没有把一切都贱卖给Joyent，这个决定影响深远，记住这一点。

2012年Dahl离开了node，npm的发明者开始领导整个项目，而此时只有npm保持着自己的独立性。

那时候大家也开始走进这个世界了。你们是Javascript程序员，喜欢写Javascript，希望用Javascript编写工具！所以大家开始用node编写Javascript了。与此同时，很多人发现用node编写I/O多路复用服务非常方便，因为node内置了很棒的反应器模式，用不着操心线程问题。2013年开始越来越多的人加入进来，node越来越欢迎，npm也开始广泛流行。

npm的优势

一切都很美好不是吗？

其实npm不仅是一个cli工具，Cli只会抓取代码塞进你硬盘里的node_modules。实际上cli可能是npm中最边缘的部分。npm最重要的是中心化包托管和存储库。包托管服务一开始就有，运行在CouchDB数据库中。“包托管库”是一个包含大量Javascript包、名称、作者和其众多版本的列表，使人们很容易找到所需的node包，并快速可靠地安装它们。

先来谈一谈中心化的优势。npm包托管库是中心化的。中心化有一些明显的可用性优势——也就是一站式服务。中心平台有一些强制的统一规则——内容长得都一样，提供相同类型的信息，而且就算提交者不管不顾了，内容也不会凭空消失。

中心化对用户有很多好处。有一个一站式的来源就能很容易找齐所需的资源。我最近一直在用Go编程，而找Go的软件包很麻烦，因为它们无处不在，只能靠谷歌搜索，或者查一查老式的文本列表。安装Go软件包时还得从Github仓库安装，安装源随时可能消失不见，令人不爽。相比之下，过去8年来使用npm的经历真是舒服。

时至今日，中心化都是互联网的主旋律。例如博客都转向了Tumblr和Medium之类的中心化平台上，社交媒体自己就中心化了，而开源内容都跑到了Github上。

所以npm就是所有node包的中心化托管库，不过2013年的时候它还问题多多。中心化的缺点在于成本也是集中的。npm库的缺点是它需要运行在带有数据库的服务器上。

npm引起了商业之战

可服务器需要花钱啊同学们。

那么谁掏钱呢？

之前的几年，npm是靠捐款维持服务器运营的。npm用了CouchDB作为数据库，免费借用后者的托管服务。很长一段时间里它都被视为CouchDB做的广告和IrisCouch提供的服务。后来IrisCouch被NodeJitsu收购，他们继续支持npm作为他们的CouchDB和node托管服务的廉价广告。

但2013年开始所有人都涌进node了，npm的使用率大增，成本飙升，服务器开始不堪重负。2013年10月npm一半时间以上都无法访问，问题已经非常严峻了。

npm需要更好的服务器，需要一位专职维护人员。npm需要钱。

这对编程语言生态系统来说不是什么新问题。RubyGems也需要钱。Perl很久以前就用CPAN镜像网络解决了它的问题。

npm的唯一所有者决定尝试一条全新的路线：他决定找些风投资金并将他的软件变成公司。他亲眼目睹Joyent才给Ryan Dahl那么点儿钱，可现在node.js价值连城。所幸他保留了npm的所有权，他在node项目中的员工身份和这个没关系。

于是他炒了Joyent鱿鱼，自己成立了一家公司——npm有限公司——并从一家风投公司获得种子资金。

node项目决定听之任之，并继续为npm有限公司提供与node打包在一起的特权。

用户们也选择了用脚投票，继续留在npm，社区继续支持npm库的发展，相当于为这个决定投了赞成票。

你们可能根本不觉得自己曾经做过什么决定。你们只是默认了这一事实罢了。你们从未质疑过npm存在的事实，甚至可能没意识到或者不在乎它其实是一家公司。

当时这个决定是有争议的。之前为npm提供免费托管的Nodejitsu就很不高兴。他们自己做了一个#scalenpm方案，当时也在为其筹集资金，和npm所有者的筹资活动刚好撞车。那时有很多法律交锋，细节我也不太了解。我知道的是npm很快就不再用Nodejitsu的托管服务了，事情变得一团糟，两家公司开始扯皮，都在找自己的律师。后来，npm很快也不再用Joyent的托管了，因为这两家公司也开战了。

一旦涉及到钱，大家就不再是兄弟了。人们可以在开源的乐园中其乐融融，但开始为钱争斗的时候就会撕掉这层温情的面具。

那时我个人也做出了一个决定：我也支持让风投基金拥有Javascript语言的公共资源所有权。不过当时我为此想出了很动听的理由。我告诉自己，这个决定最终能让node走向成功。我真的很喜欢用node编程，而我第一次参与开源工作就是在npm项目里。我心潮澎湃，希望自己的参与能让它越做越好。我相信了npm的所有者给我们展示的愿景，那就是npm将会自给自足，有自己的一大堆服务器，愉快地向广大开发者分发软件包。

资本家看到了npm背后的商机

春去秋来，时钟走到了2014年。现在npm成为了一家公司，有了风投注入的资金，也开始招聘新人了。第一份聘书发给了RaquelVélez，就在本次大会上他也做了演讲；第二份就给了我。

最后我负责领导npm的工程团队。我们扩展了npm，进而帮助node进入了高速增长期。人人都开始用node构建整个JS世界，而npm成为了每位Javascript程序员工作流程中不可或缺的一部分。npm帮助开发者重塑了Web开发产业，这是前所未有的成功！

暂停一下，先不谈npm的辉煌时刻。

来谈谈钱吧。

node和npm颠覆了业界，为什么Ryan Dahl、James Halliday、Dominic Tarr、Jan Lehnardt，所有这些开创世纪的天之骄子，却没能躺在自己的热带小岛上悠闲地喝鸡尾酒？

你们听说过这些名字吗？你们在电脑上每天使用的这些软件中上千个开源程序的核心都是他们开创的，甚至每家财富500强企业都运行着这些人编写的软件。其他还有很多人node和npm发展初期做出了贡献，但尽管他们编写的软件创造了巨大的价值，自己却几乎没有回报。

资本主义社会应该奖励像他们这样的人，但实际结果恰恰相反。

我认为，大多数为Javascript公共资源做出贡献的人们都不是冲着钱来的。他们也可能想要有自己的热带小岛，但并不指望靠自己贡献的代码换来什么。在node的早期发展阶段，npm的用户互相都还很熟悉，当他们编写这些模块并打造出node生态系统时，脑子里想的并不是钱。

他们做的是另一回事，是在一种与金钱没什么关系的生态中与志同道合的朋友交换礼物。

加拿大和美国西北海岸的原住民有一种习俗，他们喜欢送出而非接受礼物。这种习俗叫potlatch。Potlatch这种文化被西方殖民者血腥埋葬了，但这一词汇留存至今，因为这种行为源自人类的天性。Potlatch也是我们来到今天会议的动力源泉。早期的node世界奉行的就是Potlatch文化：人们追逐自己的兴趣，彼此共享软件库，帮助大家的node程序更好地工作。

没有企业支持，单纯靠民间开发者打造的所有开源项目中都有potlatch的影子。这种文化没有被暴力打压，因为资本主义就喜欢这个！资本主义社会找到了一种办法来将它转化为武器，枪口调转来打击开发者，这种武器就是Eric Raymond风格的开源软件。

你们可能已经意识到了Richard Stallman风格的自由软件和Eric Raymond风格的开源软件之间的区别。Stallman的GNU许可证要求使用共享源代码的用户也要共享他们使用这些源码构建的产物，或者至少共享他们自己的源代码。而ESR的开源风格则是说，开发者共享代码时可以附加许可条件——显然ESR的策略取胜了。

资本家喜欢ESR开源，因为企业可以从中免费获得很多好东西。资本家还会要求你开源自己的创造成果，告诉你“我们招人是会看GitHub的”，然后伸手拿走你的免费代码，做出成品高价卖掉。

Dominic Tarr就这样交出了自己的pull-stream项目，于是所有财富500强巨头都可以免费享用他的劳动成果，这就是我们面对的现实。

如果有谁没有放弃自己的知识产权，那么就最有可能因此赚上一笔。当然，他赚到的那点钱比起风投基金赚到的就是小巫见大巫了——一开始谁的钱多，谁最后就会是真正的赢家。大赢家和Javascript毫无关系，最后却成了JS公共资源的主宰。

Javascript公共资源

那么Javascript公共资源到底是什么意思？

所谓公共资源，本质上是社会所有成员都可以获得的资源集合。它可以是自然资源，例如空气、阳光和水；也可能是一片公地，大家可以自由放牧。

对于Javascript社区来说，我们的公共资源包括语言规范本身。它是由一个名为TC39的组织控制的，Javascript的所有利益相关者都可以通过这个组织合作设计和构建规范。

另一种公共资源是我们共享的代码。Babel、Webpack、TypeScript、React、Angular……以及其他几千种软件包的源代码都是我们的公共资源。列出所有这些共享代码的包管理库也是我们公共资源的一部分，我们要通过管理库来查找和分享这些资源。此外还有我们围绕这些公约资源发展的一系列惯例——我们命名和更新共享事物的约定俗成。

但所有这一切现在都由私营风投基金所有。

去年的会议上，node的发明者Ryan Dahl又回来做了一个声明。他谈到了node的一些设计缺陷，以下是其中之一：

不幸的是，node有一个中心化的（私人控制的）存储库。——Ryan Dahl

npm沦为金钱工具

我们的Javascript共享包列表受私人控制，这意味着什么？

就是说管理列表的策略不是由Javascript社区控制的，控制权在私营企业手中。为什么删除某个包？如何解决各种争议？某个包和它的依赖可能会一夜之间消失，而背后的政策都是黑箱——要圣旨？来人啊，给他写一条！

开发者想要包裹签名功能？想的美，这个功能没什么钱景，所以慢慢等吧。也许只有安全威胁或大众的强烈抗议才能推动某个功能的实现。

这里我说的只是包管理库的情况，它是闭源的，其运营政策并不受外界影响；npm cli是开源的，但无关紧要；API目前是开源的，因为公司现在还允许它开源。开发者并没有对API的控制权，想改进它也没有什么途径。

这些公共资源对开发者来说是不透明的。除非拥有它们的公司认为有利可图，否则这种不透明的状况会一直持续下去。你们不知道包里的数据是不是被动过手脚——你们只能去信任公司而已。

但没有问责制就没有信任的基础，而我们Javascript社区无法让npm有限公司承担责任。

npm的运营团队可以说他们的动机很好，说他们值得信任——但这个答案没什么意义，我们没办法去测试，出了问题也没法让他们负责。

npm这家私营实体控制了我们的公共资源，它不是一家性本善的机构，也没这个可能性。当年它的所有者将控制权交给风投基金时一切都不一样了，npm变成了一种金融工具。

金融工具是利益方之间的货币合约。它们是可以交易的筹码。npm公司拥有JS语言生态系统的控制权，拥有包管理库，以及开发者每天使用的软件包集合——但在其所有者眼中这一切不过是刀俎下的鱼肉罢了。他们用这些资源当作筹码来交易，赚取真金白银。

与npm及其代表人员打交道的时候请务必牢记这一点。你们要看看他们是被什么激励的。在这个故事中，很多人的动力来源于白花花的钞票。

跟着钱走。

公司对你没感情，甚至对你喜爱的事物也没兴趣。

广告里当然不是这么说的，广告里这种金融工具是你们的朋友，你们都是兄弟，兄弟就要一家亲，公司要为所有人着想不是吗？

当然不是，想得美。npm有限公司位于特拉华州，是一家金融工具公司，旨在为少数人赚取更多利润。

以前npm还是有很多粉丝的，我自己也曾向大家宣传这类口号，让npm获得更多人的喜爱。我曾站在讲台上塑造这种和谐的氛围，连我自己都信了。

现在我想这类宣传再也骗不了什么人了。过去几个月来npm已经撕掉了所有的面具。这种事情本来没必要发生的——但公司的高层做出了这样的选择，狠狠打了大家的耳光。这就是我们面对的现状。

到底出什么事了？为什么好好的房子突然着火了呢？

到了2018年，大家都在享用免费的Javascript软件包午餐。你们不会关心这些包来自何处，或者思考谁在为服务器付费。只需键入install即可获得软件包。

但带宽需要花钱，而有人需要付钱。

这时候，npm已经花了风投基金的好些美元来支付服务器和带宽成本。终于，一切的后果开始显现了，风投资本家清了清嗓子：“咳咳，还记得我们吗？我们想要拿回我们的钱了。我们开风投基金可不是为了做慈善哦，基金是冲着10倍投资回报率来投钱的哦，大家都知道哦。“想要拿他们的投资，必须让他们相信最后资本家能当赢家，要讲一个吸引人的好故事，不断找来更多的投资，循环往复。

在我看来，创业者一开始就拿风投的钱绝对没有错。许多企业的目标与风投资金的目标完全一致，而且也不是所有风投基金都长是一个模子里刻出来的。一些基金目光很长远，像Futureshape这样的基金明显是有兴趣改变世界的。但大多数情况下，风投资金还是想快点拿到回报，而这里就是激励的源泉了：赚钱，然后卖给新主人，拿到10倍投资回报。快点成长，长成巨头，要么就回家凉快去吧。

请记住，npm有限公司只对它的所有者负责，并不对那些向它贡献软件包的开发者负责。

因此npm公司必须赚钱，或者讲一个将要赚钱的好故事，从而筹集资金来设法赚钱。

这位前雅虎员工曾认为应该与全世界分享雅虎的包管理器，这个想法是正确的；但除此之外他就没什么能耐了，可经营公司并不是什么轻松的工作。因此在2018年，他聘请了一位新CEO打理一切，好戏开始了。这位CEO新官上任第一把火就是改变npm的文化——以前不是说npm热爱大家来着么？这种可持续的，富有同理心的文化是这位新人第一把要烧掉的累赘。

但作为CEO，他一定要面对一个无法回避的问题。

大家最关心的是公共包管理库，所有软件包都在库里存储和索引。它消耗了npm的大量成本投入，同时也是投资者眼中的价值所在。它控制着所有Javascript开发工作，因为所有Javascript开发代理都愿意通过它运作。这些使用数据是最有价值的部分。npm中所有与软件包相关的文件都位于一个s3存储桶中，装满了你们所需的各种有趣的数据块。这种状况也反过来影响了API的设计。公司并不想减少客户在安装软件时打支持电话的频率，因为这些请求都包含了有价值的数据。

包管理库给npm带来了沉重的负担。团队每天都要设法满足指数级增长的需求。我主导工作的那段时间里，这项工作是一个非常小的工程团队负责的。为什么人那么少呢？是因为npm没钱，因为它没能向新的投资者编织出吸引人的愿景，吸引更多投资，或者潜在的投资者知道实际情况并不那么美好。不管怎样，npm是有钱维持运转，让免费的Javascript代码流向广大开发者，但没能想出良好的商业模式。风投基金设定的大限一天天逼近，团队必须要展现赚钱的能力，要么就完蛋。

跟着钱走吧。

所以我们现在就处于这种境地，npm公司还没适应自己的真正角色，也就是设法为那些和Javascript毫无关联的人们赚取利润。也许它会开始增长，也许会完蛋，也许会做一些我们都不喜欢的事情，利用这个巨大的数据库，利用我们每个人的开发习惯产生的数据来恰饭。

我们现在都知道npm并不爱我们，也不喜欢它的员工。它没有我们心中的那些善意，但我们仍然要通过它安装软件包。但我认为这种扭曲的状况不会持续很久，很多人与我的观点是一致的。

我们并不是非要选择这条路的。我们的主角本来可以选择其他的方式来达成他们的目的。但一切已经发生了，无法回头。我们的公共资源掌握在我们无法信任的事物手中，因为它的动机与我们Javascript程序员的社区需求是不一致的。

我们该怎么办呢？

一个答案是我们什么都不做，因为有人说我们也无能为力。2013年npm曾陷入危机，我们都曾深受影响。现在我们也只能等npm自己完蛋，然后经过几个月的混乱另寻出路。

我不太喜欢这个答案。

想象一下npm公司最后被卖给某家专门捞钱的基金，他们接手陷入困境的公司，为了赚钱做大刀阔斧地改革。像这样的人可能没有动力让公共包管理库继续免费运营，或者会设法挖掘用户数据捞钱。

更乐观的结果是，可能有一家规模更大的企业救世主过来拯救我们心爱的npm，维持原有的运转模式。但即便如此最后也会出现问题。今天的微软看起来很和善，但他们并不是向来如此。谷歌曾经也慈眉善目，但他们现在与90年代微软的垄断者嘴脸一模一样。

我希望这次演讲不用在十年后再来一遍。

我同意Ryan Dahl的观点。Javascript的包管理库不应该被私营企业控制。我认为中心化必然会导致私有化，因为服务器总要花钱。但如果我们能够将负载分配到许多人头上，这种负担也能被分散开来。

你们可能觉得这是天方夜谭，你们也曾认为npm的统治牢不可破。几个月前我也是这么想的，结果被现实狠狠打了耳光。npm公司撕下了所有温情的面具，抛弃了社区、文化和美好的价值观。

但我依旧相信共享经济。我也不想冷眼旁观，我不是那种人。我认为人们分享自己的成果是一件好事，就算有些公司从中赚钱也没什么。

Entropic

所以我今天要向大家宣布我和同事Chris Dicknson一直在努力的一项成果，那就是JS的公共包管理器，Entropic。

Entropic基于Apache 2许可证，你们可以用它打造自己的软件包库。

Entropic有自己的cli，我们称之为ds，也就是entropy delta。

Entropic提供了一个用于发布和安装包的全新API，可以大大减少相关任务所需的网络流量。基本的安装单元是单个文件，而非tarball。

Entropic是联盟制的。你可以依赖来自其他任何Entropic实例的包，并且你的主实例将为你镜像所有依赖项，使你自给自足。

Entropic将镜像你从旧版包管理器安装的所有软件包。

需求清单很短，我们已经全部docker完毕。

你可以使用GitHub帐户登录，任何oauth provider均可接入。

该项目只开发了一个月而已，还没准备好公开，但已经自托管了。

项目还会加入更多功能，准备做的事情很多。

Entropic的宗旨是什么？

首先，我想向大家证明我们也是可以做些什么事情的。我们群众有力量，要乐观，要主动，力量就在我们大家手中。

其次，我和Chris等人深刻理解包管理库需要解决的问题，尤其是大规模库的技术。我们的社区现在需要这种专业知识，我们希望向大家分享。

第三，我认为中心化的潮流已经接近尾声，我想帮助大家走向新的未来。过去十年一直是中心化和单体服务唱主角，但未来十年将是联盟合作的舞台。联盟制能够分摊成本，扩大人们的控制权；它将分散政策的主导权，并将我们语言生态系统的控制权交还给广大开发者。

我希望Entropic能帮助我们拿回公共资源的所有权，不再被风投资本家挟持。Entropic是我们重新掌控我们语言的运动。

关于Entropic还有很多话要说，有很多工作要做，但现在是与大家分享的时候了。

如果我们意识到npm并不爱我们，也已经意识到私人公司不应该控制公共资源，那么是时候用脚投票了。我相信node社区是由有才能的好人和建立惊人事物的兴趣组成的，不应该由一家公司来定义，我们不应该让他们控制我们的命运，让Web的未来危在旦夕。我们需要收回控制权，为此我们需要一起完成Entropic的构建。

请与我们一起踏上这条征途。

原文链接：https://github.com/ceejbot/economics-of-package-management/blob/master/essay.md

创作场景

npm 沦为金钱工具背后的故事