Майкъл Катандзаро (Michael Catanzaro), един от разработчиците на уеб браузъра Epiphany (GNOME Web), участващ в проекти на GNOME и Fedora, предложи да се преразгледа използването на каталога FlatHub в Fedora Linux. В атомарно обновената версия на Fedora Workstation беше предложено по подразбиране да се използва каталога FlatHub за flatpak пакети, инсталирани от потребителите, докато собственият репозиторий за flatpak пакети да бъде ограничен само до предустановените пакети.
В момента по подразбиране в Fedora се предлага собствен репозиторий flatpak, чието съдържание се формира на базата на повторно компилирани rpm пакети. По подразбиране, изтеглянето на пакети от FlatHub може да бъде активирано само след инсталирането, като се активира опцията „Enable Third-Party Repositories“ в мениджъра на приложения GNOME, но дори и в този случай пакети от репозитория Fedora остават с по-висок приоритет.
Според Майкъл, повечето потребители биха предпочели да инсталират пакети от FlatHub, които се сглобяват от основните разработчици на приложения, отколкото от съпровождащите Fedora (80% от участниците в дискусията гласуваха за използването на FlatHub). Предполага се, че разработчиците на приложения най-добре познават нюансите на своите проекти и сглобяват по-добре работещите flatpak пакети, по-добре тествани от общността. В този контекст, съпровождащите rpm пакети в Fedora не проявяват интерес в поддържането на варианти на пакети във формат flatpak и не отделят нужното внимание на съобщенията за грешки в такива пакети, което води до намалено качество на flatpak пакетите от Fedora в сравнение с пакетите, разположени във FlatHub от основните проекти.
Много потребители не осъзнават, че при инсталиране на flatpak пакет чрез мениджъра на приложенията на Fedora, той се инсталира не от FlatHub, както в други дистрибуции, а от репозитория на Fedora, пакети в който се различават от вариантите с FlatHub. Заради това, проблеми специфични за пакетите от репозитория на Fedora се възприемат като проблеми в официалните пакети с FlatHub и оплакванията се отправят към основните разработчици, а не към съпровождащите Fedora. Например, предоставянето на проблемен flatpak пакет OBS Studio в Fedora, който имаше по-висок приоритет от пакета от FlatHub, през февруари доведе до конфликт с проекта OBS Studio.
Подчеркивается, что будущее Fedora Workstation представляет собой атомарно обновляемый дистрибутив, поэтому вопрос о переходе на FlatHub не стоит откладывать. Использование собственного репозитория Flatpak обусловлено необходимостью сборки в надежной среде. Для пакетов во FlatHub, даже если рассматривать только верифицированные пакеты, за публикацию которых отвечают основные проекты, сборка производится во внешних инфраструктурах, безопасность которых может вызывать сомнения.
Среди преимуществ поддержания собственного репозитория в Fedora выделяются гарантии, что пакет собран из заявленного исходного кода и включает только компоненты под открытыми лицензиями, утвержденными для использования в Fedora. Пакеты в репозитории Fedora также могут включать патчи, доступные только для RPM-пакетов в Fedora и пока не принятые в основную кодовую базу проектов.
Предложението на Майкъл е за включване по подразбиране в атомарната редакция на Fedora Workstation на поддръжка за инсталиране на пакети от FlatHub, които принадлежат към категорията „свободен софтуер“. Възможността за инсталиране от FlatHub ще засегне само пакети, инсталирани от потребителите чрез мениджъра на приложения GNOME Software. Всички пакети flatpak, които са инсталирани по подразбиране, ще продължат да се изтеглят от собствения репозиторий на Fedora, но за не използваните по подразбиране пакети се предлага да се използва FlatHub като източник за изтегляне.
Перед переходом на FlatHub рекомендуется совместно внедрить во FlatHub возможности для сборки пакетов в надежной инфраструктуре и использовать проверки на базе воспроизводимых сборок. Кроме того, следует решить вопрос о применении в пакетах устаревших версий Flatpak Runtime, для которых уже прекращён перенос исправлений уязвимостей. В настоящее время 994 из 3438 (почти треть) проверенных пакетов из FlatHub используют устаревшие Runtime. Проблемы с безопасностью также возникают из-за устаревших внутренних зависимостей, включаемых в состав пакетов, и применения недостаточных мер sandbox-изоляции (разработчики некоторых пакетов отключают режимы защиты).
Освен Майкъл, с подобно предложение се изказа и Тимоте Равиер (Timothée Ravier): в Fedora 43 се предлага да продължи да се предоставят предварително инсталирани flatpak пакети от репозитория Fedora, но да се добави филтър, позволяващ инсталирането от FlatHub на избрани проверени приложения. Като предимства на предложеното решение се посочва намаляване на объркването за потребителите и разработчиците на основните проекти (разработчиците трябва да разглеждат съобщенията за грешки, специфични за пакети Flatpak от Fedora, представени като налични в официалния flatpak пакет). Промяната също така ще намали натоварването върху поддържащите и ще им позволи да се концентрират върху предаването на корекции на основните проекти и тестовете на предварително инсталираните по подразбиране Flatpak пакети.
Източник: opennet.ru
