全球开源生态发展势态如何？

全球开源生态愈发成熟，风险挑战依然存在。

一、开源生态优化升级，迈向高速发展崭新阶段

1.开源项目稳步发展，技术演进将形成以开源为主的发 展模式

全球开源项目连续两年增速放缓。据全球最大的代码托管平台 GitHub 的显示，截至 2021 年 GitHub 托管仓库已达 2.61 亿，2021 年 新增仓库 6100 万个，增长率达 30.5%。2020 年全球开源项目数量增 速从 50%下降到 43%，2021 年继续下降到 31%，连续两年增速放缓。 其中，原有项目基数逐年增大，项目贡献接受率降低是主要原因。 虽近两年开源项目增长率放缓，但项目的绝对增长数量却逐年增加， 主要原因是每年的开源项目基数都会增大。此外，开源项目存在贡 献质量较低的问题。据 GitHub 2021 年度报告数据显示，有 47.8%的 代码贡献者来自私人企业的开发者，学生群体开发者代码的贡献量 占比为 27.9%，开源核心贡献者数量较少，新手比例较高。随着开 源项目的审核和维护门槛日益增高，有很多贡献者没有足够能力确 保贡献代码的质量，造成开源项目的贡献接受度逐渐下降，开源项 目逐步从规模化向精细化发展。有偿开发工作岗位数量较少导致开 源项目可持续性不足是另一原因。目前，绝大多数开源项目的日常 开发和维护工作仍来源于志愿者兼职付出，许多社区开发者由于兴 趣和爱好自愿贡献代码。但很多时候，维护正在进行的开源项目需 要花费大量时间精力，能够取得报酬会成为大多数开发者积极参与 开源的重要理由。

技术演进将形成以开源为主的发展模式。在以技术开放、开源 思维为基础的信息时代，人类生活方式与技术演进正在进入一种面 向服务、开放协同的新局面，许多技术理论和创新习惯都面临革新。 开源模式为技术创新的扩散应用提供了良好的土壤，也为全球经济 的转型发展提供无穷的创新思路。据 GitHub 预测，2025 年全球开 发者数量群体将突破一亿，全球开源项目体量也将快速增长。在云 计算、大数据、物联网等新一代信息技术快速发展期，开源模式能 够快速形成产品门类，保证技术在“开放、平等、协作、分享”的 氛围中被充分利用。同时，各行业领域基于共享、开放、协作的创 新动力持续带动产业经济效益，技术分享将有效推动行业规模扩展 和生态发展，创造“集体共赢”的市场格局。

2.开源项目社区、组织社区和平台社区多态发展

开源社区分项目类社区、组织类社区和平台类社区三大类别。 项目类社区是围绕单个开源项目形成的的贡献者群体；组织类社区 是基于开源组织（开源基金会等）聚集的群体；平台类社区是围绕 开源基础设施（开源代码托管平台等）聚集的群体。

疫情当下，项目类社区参与度显著提升，头部社区成熟度无明 显短板。2021 年，全球项目类社区异常活跃，开源项目和开源社区 层出不穷。全球组织与开发者对如何构建活跃的开发者生态，营造 健康可信开源社区的关注度越来越高。针对水平不一的市场参与者， 中国信息通信研究院构建了可信开源社区成熟度度量模型，围绕开 源社区的建设水平、运行机制、管理能力、市场情况等方面进行全 方位度量，考察开源社区的流行度、参与度、响应度、安全能力、 法律合规、行业应用等方面，帮助开发者构建健康可信的开源社区。 通过 GitHub 平台官方数据，《2021 中国开源年报》计算得出全球 活跃度排名前十的开源社区，包括管理容器化工作负载和服务的 Kubernetes、开源移动应用软件开发工具包 Flutter、基于 Python 的 家庭智能化平台 Home assistant、开源机器学习库 PyTorch、开源软 件开发框架.NET、源代码编辑器 VS Code 等。经模型度量分析，全 球头部开源社区发展全面，各能力域得分较高。图 7 显示了 GitHub 平台上活跃度靠前的六个开源社区，头部开源社区在各能力域的得 分显著超过行业平均值，各方面均无明显短板，处于全面发展态势， 同时，各开源社区分别有各自的优势领域。总体来说，Flutter 社区和 VS Code 社区的流行度得分较为亮眼，使用者和开发者对该社区 的关注度较高；Kubernetes 社区的行业使用情况优势明显，该社区 目前在市场上占据重要位置；PyTorch 社区的安全能力突出，该社 区高危漏洞数量较少，维护能力较强，文档较为完备；.NET 社区的 法律合规表现出色，组件许可证兼容性较高，法律风险较小；Home assistant 社区的响应度得分较高，社区响应效率和新版本更新迭代频 率较高。

组织型社区关注点从项目垂直孵化过渡到横向治理，安全合规 已上升至焦点问题。随着近些年全球开源软件安全事件频繁发生， 众多开源基金会和开源组织纷纷关注开源项目的安全合规问题。以 Linux 基金会为例，作为全球规模最大的开源基金会，Linux 基金会 于 2020 年与多家硬件和软件厂商合作，正式成立开源安全基金会 OpenSSF（Open Source Software Foundation），基金会现有 60 多名 会员，包括谷歌、微软、亚马逊等科技巨头。2022 年 3 月份， OpenSSF 基金会宣布成立了 Alpha-Omega 计划，将协助开源项目维 护人员寻找修补 1 万项开源代码中的新 0day，改进开源软件生态系 统的安全。2022 年 1 月，OpenSSF 与软件包数据交换（Software Package Data Exchange，SPDX）、OpenChain 合作发布了《软件物 料清单和网络安全报告》，对软件物料清单的准备和采用进行了全 球范围的实证研究，详细探讨了软件物料清单的最新准备进展和采 用情况，同时分析了全球软件供应链的安全挑战和机遇。

二、开源资本市场持续火热，未来充满无限机遇

1.开源投融资迎来“亿时代”，热情逐渐高涨

开源投融资呈现单笔数量大、融资速度快的新特点。根据不完 全数据统计，2021-2022 年共有 32 家开源商业公司获得融资且有多家公司在短时间内获得多轮融资，其中单轮融资数达到 1 亿美元的 企业数量占比接近 2 成，达到 1 千万美元的企业数量占比超过 5 成， 与前几年相比整体开源融资市场呈现融资时间缩短、融资金额显著 增长的趋势，开源商业化价值提到了一个新阶段。

数据库领域成为开源融资界宠儿。截至 2022 年 6 月，数据库商 业公司获得融资的数量占比为 25%，数据库类型向细分功能领域分 化；大数据商业公司获得融资的数量占比为 19%，大数据类型向数 据分析方向倾斜。

2.全球开源商业模式多元发展，市场渐成规模

开源不等于免费这一观念逐渐深入人心，以开源软件为中心衍 生的开源商业化发展至今，从单一化商业模式转变为多元化，具体 可分为以下几种。

提供商业版本、技术服务和云服务商业模式已成为主流商业化 模式，呈现从产品化到服务的发展趋势。企业基于开源软件打造闭 源的商业软件并进行售卖，此种商业模式为大众接受度最高、发展 时间最久的，也是当前众多开源软件背后的商业公司的盈利模式； 企业通过提供开源软件技术服务来获得利润，服务形式可包括培训、 技术支持、咨询等，而软件本身是不收取任何费用的。此类商业模 式以 IBM、红帽为典型代表，一些开源软件背后的商业公司也开始 尝试此类商业模式，例如 Nginx 等，此类商业模式需要与上游开源 社区形成深度联动机制，通过不断投入贡献来获取稳定服务，花费 企业的人力物力较多；随着云服务模式的发展，以软件即服务的方 式赚取利润成为小型软件提供商的主要商业模式，即让在线用户按 需付费、即用即付的订阅方式来完成整个过程，而软件本身是开源 的。

通过构建生态和广告支持获取利益为科技巨头企业提供商业化 模式。此类企业以开源软件作为流量入口，构建开源软件应用生态， 从而获取利益。该种模式以头部企业为典型代表，例如谷歌开源安 卓系统，通过安卓应用软件获取利润，同时通过开源软件赢得企业 声誉，增加客户粘性；使用开源软件本身不收费，但是通过附加的 一些广告等业务来进行盈利。比如社交、电商、游戏、交易平台、 信息流（搜索、新闻、短视频、微博）等这些软件，即在开源软件中安装广告的播放插件，Google、Mozilla、Canonical 等公司大多使 用此种商业模式。

通过招募会员和售卖周边成为开源组织的收益来源。目前主流 的开源基金会均采用会员制，不同等级会员需要缴纳相应数量的会 员费来享受开源组织的投票、决策等权益；一些开源组织，诸如 Mozilla 基金会、维基百科基金会等，销售一些如 T 恤、咖啡杯子等， 这也可以视之为一种为用户社区提供额外服务的形式。

三、开源生态繁荣发展背后，风险隐患备受关注

1.开源治理进入高速发展期，获得国家层面关注

随着开源产业繁荣兴起，开源技术一方面可以帮助用户突破技 术壁垒，推动技术创新；另一方面又带来安全、合规、供应链等一 系列问题。开源治理是推动开源生态健康发展的有效手段，其中涉 及开源社区构建、开源许可证合规、代码安全审查等众多方面。

国际政府组织与科技巨头正积极采取治理行动改善开源风险。 随着开源组件的不断增多，大量的第三方开源组件被集成到软件中， 导致软件供应链变得越来越复杂。开源软件供应链关系网络越发复 杂多元化，导致信息系统的防护难度越来越大。去年，Apache Log4j 等基础开源软件频现高危风险，多个国家和大量企业均因此遭 受严重损失。2022 年 1 月和 5 月，美国白宫集结 30 余家科技企业与 政府机关举行开源软件安全峰会，商讨开源软件供应链风险挑战。会议指出当前开源软件供应链存在标准不清晰、风险处置能力滞后、 生态体系不透明等问题。

2.开源代码安全问题凸显，影响较为严重

代码库中的安全漏洞风险较为严重。根据 Snyk 和 Linux 基金会 2022 年发布的开源安全调查报告，一个应用程序开发项目平均有 49 个漏洞和 80 个直接依赖项。此外，修复开源项目漏洞所需的时间也 在稳步增加。2018 年修复安全漏洞平均需要 4 天，而 2021 年修复一 个补丁大约需要 110 天。根据《2021 年开源软件供应链安全风险研 究报告调查结果》显示，2020 年新增漏洞中，高危漏洞占比最高， 数量为 1826 个。使用过时的、存在漏洞的开源组件仍然是软件开发 过程中的常态。《2022 开源安全与风险分析报告》围绕五个指标对 代码库中的开源项目维护情况进行了统计，结果显示包含两年无任 何开发活动的组件在代码库中的占比为 88%，包含过时四年多的开 源代码在代码库中的占比为 85%。

物联网、航天、互联网行业的安全风险极为突出。根据新思科 技《2022 开源安全与风险分析报告》显示，2021 年 17 个行业的统 计数据中，有 10 个行业包含开源漏洞的代码库占比相较于 2020 年 统计数据出现了下降，6 个行业包含开源漏洞的代码库占比相较于 2020 年统计数据出现了上升。2021 年的统计数据中包含开源漏洞的 代码库最高的五个的行业有物联网、航空航天、汽车、运输和物流、 互联网和移动 APP。最低的三个行业为网络安全、电信和无线、互 联网和软件基础架构。