Майкъл Катандзаро (Michael Catanzaro), един от разработчиците на уеб браузъра Epiphany (GNOME Web), участващ в проектите на GNOME и Fedora, предложи да се преразгледа използването на директорията FlatHub в Fedora Linux. В атомарно обновяемото издание Fedora Workstation е предложено по подразбиране да се използва директорията FlatHub за flatpak пакети, инсталирани от потребителите, а собственото репо на flatpak пакети да бъде ограничено само до предварително инсталирани пакети.
В момента по подразбиране в Fedora се предлага собствено flatpak репо, чието съдържание се формира на база на повторно опаковане на rpm пакети. По подразбиране инсталирането на пакети от FlatHub може да се активира само след инсталация, чрез активиране на опцията „Enable Third-Party Repositories“ в мениджъра на приложения GNOME, но дори в този случай пакети от репото на Fedora имат по-висок приоритет.
Според Майкъл, повечето потребители биха предпочели инсталирането на пакети от директорията FlatHub, които се събират от основните разработчици на приложения, а не от екипа на Fedora (80% от участниците в дискусията се изказаха за използването на FlatHub). Предполага се, че разработчиците на приложения разбират по-добре нюансите на своите проекти и събират по-качествени flatpak пакети, по-добре тествани от общността. В същото време, разработчиците на rpm пакети в Fedora не проявяват интерес към поддържането на варианти на пакети във формат flatpak и не обръщат необходимото внимание на съобщенията за грешки в подобни пакети, което води до по-ниско качество на flatpak пакетите от Fedora в сравнение с тези от основните проекти в FlatHub.
Много потребители не са наясно, че когато инсталират flatpak пакет чрез мениджъра на приложения на Fedora, той не се инсталира от FlatHub, както в други дистрибуции, а от репото на Fedora, пакетите в което се различават от вариантите в FlatHub. Поради това, проблемите, специфични за пакетите от репото на Fedora, се възприемат като проблеми в официалните пакети от FlatHub и оплакванията се отправят към основните разработчици, а не към екипа на Fedora. Например, проблемният flatpak пакет OBS Studio в Fedora, който имаше по-висок приоритет от пакета от FlatHub, през февруари доведе до конфликт с проекта OBS Studio.
Отбелязва се, че бъдещето на Fedora Workstation се възприема като атомарно обновляем дистрибутив, затова въпросът за преминаването към FlatHub не бива да се забавя. Използването на собствен Flatpak хранилище е обосновано от необходимостта от изграждане в доверена среда. За пакетите във FlatHub, дори когато се разглеждат само верифицирани пакети, за публикуването на които отговарят основните проекти, изграждането се извършва във външни инфраструктури, чиято безопасност може да предизвика съмнение.
Сред предимствата на поддържането на собствено хранилище в Fedora се споменава гаранцията, че пакетът е изграждан от обявения изходен код и съдържа само компоненти с отворени лицензии, одобрени за използване от Fedora. Пакетите в Fedora хранилището също могат да включват пачове, налични само за RPM пакети в Fedora и все още не приети в основната кодова база на проектите.
Предложението на Майкъл се свежда до включването по подразбиране в атомарната версия на Fedora Workstation на поддръжката за инсталиране на пакети от FlatHub, намиращи се в категорията „свободен софтуер“. Възможността за инсталиране от FlatHub ще се отнася единствено за пакетите, инсталирани от потребителите чрез мениджъра на приложения GNOME Software. Всички предварително инсталирани по подразбиране flatpak пакети ще продължат да се свалят от собственото хранилище на Fedora, но за неприлаганите по подразбиране пакети се предлага да се използва FlatHub като източник за сваляне.
Предложението преди прехода към FlatHub е съвместно да се внедрят възможности за изграждане на пакети в доверена инфраструктура и да се проведат проверки на базата на възпроизводими сборки. Освен това, трябва да се разреши въпросът с използването на остарели версии на Flatpak Runtime в пакетите, за които вече не се прenaсят поправки на уязвимости. В момента 994 от 3438 (почти една трета) проверени пакети от FlatHub използват остарял Runtime. Проблеми с безопасността също възникват заради остарели вътрешни зависимости, включени в пакетите, и заради недостатъчни мерки за sandbox изолация (разработчиците на някои пакети деактивират защитните режими).
Освен Майкъл, с подобно предложение се изказа и Тимоти Равие (Timothée Ravier): в Fedora 43 се предлага да се продължи доставката на предварително инсталирани flatpak пакети от репозиторият Fedora, но да се добави филтър, позволяващ инсталирането от FlatHub на избрани проверени приложения. Като предимства на предложеното решение се посочват намаляване на объркването за потребителите и разработчиците на основните проекти (разработчиците трябва да разглеждат съобщения за грешки, специфични за Flatpak пакетите на Fedora, подадени като че са налични в официалния flatpak пакет). Променята също така ще намали натоварването на поддържащите и ще им позволи да се фокусират върху предаването на корекции в основните проекти и тестването на предварително инсталираните по подразбиране Flatpak пакети.
Източник: opennet.ru
