Récemment, en regardant L2, ils se critiquent mutuellement sur le TPS, les frais, les subventions écologiques, c'est assez animé, mais je suis plutôt curieux de voir si « cette mare d'eau » en dessous est stable ou non. Les débutants veulent juger la crédibilité, ne se concentrent pas seulement sur ces logos dans le rapport d'audit : d'abord regarder sur GitHub si quelqu'un maintient le projet à long terme, si des issues reçoivent des réponses, si les mises à jour ne sont pas soudainement des changements majeurs sans explication ; ne pas croire aveuglément à l'audit, l'essentiel est de voir si la portée de l'audit et les problèmes connus ont été réellement corrigés, s'il y a eu une re-vérification, sinon c'est juste « vu mais pas changé ». Ensuite, il faut regarder la multi-signature pour les mises à jour, qui sont les signataires, quel est le seuil, y a-t-il un délai ou un interrupteur d'urgence, si les permissions sont concentrées dans une seule personne capable de changer la logique… En gros, ce sont ces flux sous-jacents.

Ma mère m'a demandé il y a deux jours : « Avoir un audit, c'est ça la sécurité ? » Je ne peux répondre qu'à moitié : l'audit, c'est comme un bilan de santé, il peut détecter des problèmes, mais cela ne veut pas dire que tu ne tomberas pas malade, surtout quand le projet est en constante mise à jour. De toute façon, si je vois que les permissions sont trop grandes et qu'il n'y a pas de temps pour les verrouiller, je vais d'abord avoir un doute.