云计算开源产业联盟-开源产业白皮书（2019年）-2019.7-37页_1mb

开源产业白皮书（2019年）总结

核心内容概述

《开源产业白皮书》（2019年）由中国信息通信研究院发布，全面分析了全球及我国开源软件市场的发展现状、主要风险以及未来趋势。白皮书通过问卷调查和代码扫描工具，收集了4,135份有效问卷，并对多个热门开源项目进行了风险评估，旨在为企业和行业提供参考，推动我国开源产业的健康发展。

主要观点

1. 开源技术应用现状

• 企业接受度提高：超过86.7%的企业已应用开源技术，10.6%有计划使用，显示开源技术已被广泛接受。
• 主要应用领域：存储、大数据分析是企业应用开源技术的首要方向，分别占比56.7%和54.8%。
• 实施方式：近七成企业选择与服务商联合部署开源技术，21.1%的企业依靠内部力量自研。
• 技术热点：容器、虚拟化、微服务、DevOps是当前云计算领域开源技术应用的重点。

2. 开源技术发展特点

• 产业链条逐渐形成：包括自发开源企业、开源产品企业和开源用户企业。
• 科技企业主导：华为、阿里、腾讯等企业积极发起开源项目，推动国内开源生态发展。
• 行业属性显现：金融、通信等传统行业开始参与开源生态，推动行业专属开源项目孵化。
• 风险意识增强：企业对开源风险有了更清晰的认识，开始建立开源治理体系。

3. 开源软件风险分析

• 三类主要风险：知识产权及合规风险、安全风险、运维和技术风险。
• 许可证风险：部分开源组件使用传染性许可证，如GPL、LGPL等，可能导致企业需开源修改代码。
• 安全漏洞问题：开源软件存在不同程度的安全风险，如漏洞、后门、恶意代码等。

关键信息

1. 开源软件市场数据

• 全球开源热度：GitHub截至2018年有3,000万开发人员，200万家企业或组织参与。
• 中国贡献者活跃：中国贡献者数量位居全球第二，2018年较2017年增长1.6倍。

2. 开源技术应用数据

• 容器技术：36.4%的企业已使用，34.2%正在测试，21.1%在评估。
• OpenStack：54.9%的企业选择购买商业版并使用供应商服务，33.1%选择定制开发。
• 微服务框架：61.2%的企业选择Spring Cloud，33.7%选择Service Comb。
• DevOps工具：Jenkins、Ansible、Saltstack等工具广泛应用，其中Ansible使用率最高。

3. 开源软件风险扫描结果

• 容器技术：
  • Docker：未发现传染性许可证组件。
  • RKT：发现1个GPL组件。
  • LXC：发现1个GPL和1个LGPL组件。
• 容器编排技术：
  • Kubernetes：发现3个GPL组件。
  • Mesos：未发现传染性许可证组件。
  • Swarm：发现1个严重漏洞，1个高风险漏洞，1个中风险漏洞。
• OpenStack组件：
  • Keystone：发现2个高风险漏洞，5个中风险漏洞。
• 微服务框架：
  • Dubbo：发现1个严重漏洞，1个高风险漏洞，5个中风险漏洞。
  • Spring Cloud：发现3个严重漏洞，4个高风险漏洞，1个中风险漏洞。
  • Service Comb：暂未发现传染性许可证组件。
• DevOps工具：
  • Ansible：发现3个严重漏洞，13个高风险漏洞，17个中风险漏洞。
  • Chef：发现3个高风险漏洞，1个中风险漏洞。
  • Jenkins 和 Go CD：暂未发现传染性许可证组件。

发展趋势与建议

1. 开源产业发展趋势

• 开源生态成熟：开源技术在云计算、大数据、人工智能等领域逐渐成为主流。
• 行业生态形成：金融、通信等传统行业逐步参与开源生态建设。
• 治理机制完善：企业对开源风险的关注度提升，逐步建立开源治理机制。

2. 开源产业发展建议

• 企业层面：
  • 建立开源风险意识，加强合规管理。
  • 制定开源管理制度，建设开源软件管理平台。
  • 设立专门的开源治理组织，明确责任分工。
• 行业层面：
  • 第三方机构应推广国内开源项目，建设开源配套基础设施。
  • 推动开源标准制定，规范“申请-审批-使用”流程。
  • 鼓励开源社区共建，提高开源项目的行业适用性和影响力。

附录信息

白皮书附录列出了用于开源软件风险扫描的工具清单，包括：

• Ansible（2.7.10）
• Go CD（19.4.0）
• Jenkins（2.176.1）
• Chef（15.1.7）
• Docker（4.9.0）
• LXC（2.0.11）
• RKT（1.30.0）
• Dubbo（2.7.1）
• Service Comb（0.3.0）
• Swarm（1.2.9）
• Mesos（1.7.2）
• Kubernetes（1.15.0）

这些工具为开源软件风险分析提供了技术支持，有助于企业识别和规避潜在风险。