Недавно я снова увидел, что многие используют фразы «GitHub очень активен» и «прошел аудит» в качестве гарантии безопасности, говоря прямо, новичкам важно понять доверие, а не только наличие проекта, а детали: не стоит смотреть только на количество коммитов на GitHub, лучше проверить релизы и теги, есть ли четкое описание изменений, кто делал ревью, обновление — это просто временные правки или что-то существенное; также не стоит ограничиваться только скриншотами об аудитах, хотя бы пробежаться глазами по проблемам высокого риска — исправлены или нет, исправление — это изменение кода или просто слова. Самое важное — это права на обновление: сколько человек подписывает, каков порог, подписанты распределены или нет, лучше еще посмотреть на таймлок, наличие буфера — это дает больше уверенности. Сегодня вечером ставки снова экстремальные, в группе спорят, стоит ли продолжать надувать пузырь или нет, я, честно говоря, сначала разберусь с правами и путями обновления… Комната еще ругала меня за то, что я в полночь слежу за адресами контрактов, как будто проверяю работу, ладно, пока так.