不安全的商贩

# 不安的贩售者 来源：https://blog.happyfellow.dev/merchants-of-insecurity/ ## One Happy Fellow - 博客 (https://blog.happyfellow.dev/) 文章 (https://blog.happyfellow.dev/) 关于 (https://blog.happyfellow.dev/about/) [联系](mailto:[email protected]) 订阅 (https://blog.happyfellow.dev/subscribe/) RSS (https://blog.happyfellow.dev/feed/) *2026年8月25日* 首先，一则重要提示：**如果你对设备安全哪怕有一丁点在意，就千万别用 Omarchy**。 ## 烂泥扶不上墙 Omarchy 4.0 发布时带来了一系列安全问题，我只能用“遗憾”来形容（因为我答应过老妈要少说脏话）。其中不乏一些“狠活”，比如视频标题可执行bash注入漏洞 (https://github.com/basecamp/omarchy/pull/7847) ，以及所有通知功能都能在你的设备上执行任意bash命令 (https://github.com/basecamp/omarchy/pull/7926)。 所有项目都可能有安全问题，但并非所有项目的问题都如此可预见。我们知道如何处理不受信任的输入。我们知道不该用AI生成的bash脚本来处理不受信任的输入，尤其在几乎无人审查的情况下。 指望从一堆烂糟的bash脚本起步，然后寄希望于别人能在问题被利用前发现并修复，这永远无法构建出一个相对安全的系统。 简而言之，Omarchy 并未将安全视为重点。他们只是摆出重视安全的姿态，但其开发实践，以及他们如此轻易地将几十年的安全漏洞问题快进重演、甚至发明新问题的方式，比任何“安全团队公告”更能揭示 Omarchy 的真实安全状况。 ## 谎言还是营销？ DHH 总爱说他正在实现“Linux 桌面元年”。Omarchy 就是大家应该使用的发行版。展示其体验有多精美。本质上，他擅长推销 Omarchy。 在安全方面，他强调了安全团队在最近版本更新中的努力 (https://x.com/dhh/status/2092214214005833830?s=46)。当起点是一个千疮百孔的操作系统时，一长串已解决的安全问题清单确实看起来挺唬人。 我认为这种营销已演变为欺骗和不真诚。诚实的态度应该是承认，他们关心迭代自己的dotfiles配置，远甚于关心系统的基本安全。 DHH 用一种虚伪的乐观情绪和“管他呢，干就完了”的态度压制批评者。但现实是，Omarchy 是一个未严肃对待安全问题的项目，毫不奇怪许多公司会禁止使用它。 ## 就让人享受点东西吧，天哪 我无意阻止任何人。我只是不喜欢公众对使用像 Omarchy 这类项目所承担风险的认知，与实际风险脱节。 该团队似乎无意准确地向用户解释这点。我不喜欢人们被蒙蔽而伤害自己，因此写下此文。 和平 ✌️