Tôi từng khá cố chấp, nghĩ rằng “chỉ cần xem trên chuỗi” là đủ, mã nằm đó, không ai có thể lừa tôi. Sau vài lần nâng cấp gặp sự cố (đặc biệt là khi thay đổi quy tắc tạm thời của đa chữ ký), tôi mới nhận ra: trên chuỗi chỉ là kết quả, độ tin cậy thường ẩn dưới ngoài chuỗi.

Đưa cho người mới một cách ngu ngốc: đừng vội xem vài trang kết luận kiểm toán đầy lời khen, hãy vào GitHub xem xem các lần gửi cập nhật gần đây có phải chỉ một hai người đẩy mã, có ai hỏi issue không, sửa lỗi khẩn cấp có thường “lên tàu rồi mới mua vé” không. Báo cáo kiểm toán cũng đừng xem như thẻ miễn tử, tập trung vào phạm vi, vấn đề đã biết xử lý thế nào, có rõ ràng kiểm thử hồi quy và quy trình nâng cấp không. Rồi xem về nâng cấp đa chữ ký: là ai, có mấy chìa khóa, có khóa thời gian không, nhất là những lời hứa miệng kiểu “cần thì mới thêm” thì cực kỳ nguy hiểm.

Gần đây Meme/người nổi tiếng lại bắt đầu gọi lệnh, chú ý một vòng, người mới rất dễ nhận phần cuối cùng. Nói thẳng ra, càng náo nhiệt thì càng nên đặt “có thể sống sót” lên hàng đầu, đừng để cảm xúc thay bạn làm công tác kiểm soát rủi ro.