谷歌强化对AOSP外部贡献者的审查 避免被恶意提交Bug代码

谷歌强化对AOSP外部贡献者的审查 避免被恶意提交Bug代码

Android开源项目（Android Open Source Project，AOSP）是指由Android的开发人员、流程和源代码组成的项目。AOSP的开发人员负责监督项目并开发源代码，而流程则是为了管理软件的开发而使用的工具和程序，最终得到的是可用于手机和其他设备的源代码。 目前，AOSP采用的是Apache 2.0开源许可证，这意味着任何人都可以修改其代码。然而，这种策略的一个缺点就是给恶意人员提供了一种简单的破坏途径。为了应对安全问题，谷歌正在加强对外部贡献人员的审查。 Android专家Mishaal Rahman解释称，现在所有对AOSP的外部更改都需要两位谷歌审核人员进行审查和批准。目的是防止代码中隐藏的安全漏洞和Bug进入AOSP，而不是限制谁可以向AOSP提交代码。事实上，Rahman明确指出，非Google员工并未被列入贡献黑名单。相反，外部代码只需接受审查，让直接受影响的人有机会确定它是否应该被整合进AOSP。这是一个更彻底的审查流程，有助于筛选最终代码，确认最有益的部分，并减少安全问题。 外媒认为，这一策略可能会大幅减少谷歌过去所面临的一些与漏洞相关的问题。就在去年，David Schütz发现了一个存在于AOSP中的漏洞，这是一种可以允许黑客绕过安卓锁屏的缺陷。他后来因报告该漏洞而从谷歌获得了7万美元的奖励。值得注意的是，谷歌已于2010年启动了一个名为漏洞赏金计划（Vulnerability Rewards Program）的项目，该项目自开启以来已贡献过11000个以上的漏洞，而谷歌均会以现金作为奖励。目前，谷歌已经向这些白帽子支付了数百万美元。

(8332807)