Wie kann ich feststellen, ob eine bestimmte Distribution des Discourse-Clients Freie Software ist?

[JacobK1 (Jacob)]

@HAWK

@HAWK

Alles, was Teil des Kernprodukts ist, das wir hosten (einschließlich Meta), mit Ausnahme der oben genannten, ist kostenlos und Open Source.

Gibt es ein separates Repository mit einer Lizenz für die Plugins, die ich zuvor nicht gefunden habe, wie z. B. discourse-customer-flair-plugin? Das an den Browser ausgelieferte JavaScript hat einen Link zu einer Source Map, aber soweit ich das beurteilen kann, keine Lizenz.

Mein Verständnis von “Hosting/Infrastruktur-Code” würde clientseitiges JavaScript nicht einschließen; ist das richtig?

@RGJ

@RGJ

Ich denke, es gibt viel Verwirrung zwischen einer Distribution im guten alten Sinne (hier ist ein GitHub-Repository und Sie können gerne tun, was Sie wollen) und einer Distribution im moderneren Sinne (hier ist eine Website und sie sendet JavaScript an Ihren Browser). Außerdem gibt es Verwirrung zwischen Discourse https://github.com/discourse/discourse und Discourse und all seinen ersten und Drittanbieter-Plugins und Theme-Komponenten, die von den Website-Administratoren hinzugefügt wurden.

Ich stimme zu. Ich glaube, ich bin verwirrt darüber, wofür das Wort “Discourse” eigentlich gilt.

@RGJ

@JacobK1

Bedeutet das, dass der angegebene Commit-Hash falsch wäre, wenn ein Serveradministrator Änderungen vorgenommen hätte und den angezeigten Commit-Hash nicht geändert hätte? Ich dachte, das Aktualisieren von Software würde den Commit-Hash automatisch ändern, und ich nahm (fälschlicherweise?) an, dass der angezeigte Commit-Hash automatisch aktualisiert würde.

Es ist ein Commit-Hash, also wenn Modifikationen vorgenommen werden, nachdem er aus dem Repository gezogen wurde und bevor er committet wird, dann haben Sie bereits eine solche Situation. Das muss keine böswillige Handlung sein, es passiert auch, wenn Sicherheitspatches angewendet werden (was typischerweise geschieht, bevor sie in einen öffentlichen Branch committet werden). Nun, im Allgemeinen sind Sicherheitspatches nicht clientseitig, aber sie können einige aktualisierte clientseitige Codes einführen.

Ah, okay, dann gäbe es wohl keine gute Möglichkeit, das herauszufinden.

@RGJ

@JacobK1

In vielen Fällen lesen Leute, die an Software zusammenarbeiten, vielleicht einige der Commits der anderen, sodass ich nicht alle Autoren einzeln vertrauen muss.

War der iOS SSL-Fehler absichtlich? - Schneier on Security

Guter Punkt, jemand könnte versuchen, eine solche Schwachstelle zu verbergen. Aber es scheint einfacher zu sein, dieses Problem durch die Prüfung von Drittanbieter-Code zu mildern, als jeder einzelnen Person zu vertrauen, die den Code jemals im Upstream geändert hat, obwohl wahrscheinlich keiner der Ansätze vollständig praktikabel wäre.

@RGJ

@JacobK1

Wäre also der einzige Weg, unfreie Software bei der Verwendung von Discourse zu vermeiden, ein Discourse-Client als Browser-Erweiterung oder Haketilo-Paket oder etwas Ähnliches zu verpacken?

Es wäre ein Weg, ich bin mir nicht sicher, ob es der einzige Weg ist. Wenn Sie dies tun, müssten Sie es fast täglich aktualisieren, um Fehler zu vermeiden.

Ja, obwohl es möglich ist, dass die meisten Updates automatisch gehandhabt werden könnten.

@RGJ

Obwohl dieses gesamte Thema eine interessante rechtliche Diskussion ist, scheint es alles ein wenig von der Realität losgelöst zu sein.

Ich nehme an, das stimmt in diesem Fall größtenteils.