Michael Catanzaro, jeden z vývojářů webového prohlížeče Epiphany (GNOME Web), účastnící se projektů GNOME a Fedora, navrhl přehodnotit použití katalogu FlatHub v systému Fedora Linux. V atomicky aktualizované edici Fedora Workstation je navrženo zapojit katalog FlatHub pro flatpak balíčky, které uživatelé instalují, a vlastní repozitář flatpak balíčků omezit pouze na předinstalované balíčky.
V současné době je ve Fedoře ve výchozím nastavení nabízí vlastního flatpak repozitáře, jehož obsah je vytvářen na základě přebalování rpm balíčků. Ve výchozím nastavení je žel pouze po instalaci možné povolit stahování balíčků z FlatHub aktivováním volby „Povolit třetí strany“ v GNOME Správci aplikací, ale i v tomto případě jsou balíčky z repozitáře Fedora preferovány.
Podle Michaela by většina uživatelů raději instalovala balíčky z katalogu FlatHub, které jsou shromažďovány hlavními vývojáři aplikací, než od těch, kteří doprovázejí Fedoru (80 % účastníků diskuse vyjádřilo souhlas s používáním FlatHub). Předpokládá se, že vývojáři aplikací lépe rozumí nuancím svých projektů a shromažďují kvalitněji fungující flatpak balíčky, které byly lépe testovány komunitou. Přitom doprovázející rpm balíčky v systému Fedora nemají zájem na udržování variant balíčků ve formátu flatpak a nevěnují náležitou pozornost chybovým hlášením v těchto balíčcích, což vede k tomu, že kvalita flatpak balíčků od Fedory je nižší než u balíčků z FlatHub od hlavních projektů.
Mnoho uživatelů není informováno o tom, že instalací flatpak balíčku přes správce aplikací Fedora se instaluje ne z FlatHub, jak v jiných distribucích, ale z repozitáře Fedora, jehož balíčky se liší od variant z FlatHub. Z tohoto důvodu jsou problémy specifické pro balíčky z repozitáře Fedora vnímány jako problémy v oficiálních balíčcích z FlatHub a stížnosti jsou směrovány na hlavní vývojáře, nikoli na doprovázející Fedoru. Například dodání problémového flatpak balíčku OBS Studio ve Fedoře, který měl přednost před balíčkem z FlatHub, vedlo v únoru k konfliktu s projektem OBS Studio.
Budoucnost Fedora Workstation je viděna jako atomicky aktualizovatelný distribuce, a proto není dobré zdržovat přechod na FlatHub. Použití vlastního Flatpak repozitáře je podmíněno potřebou sestavení v důvěryhodném prostředí. Pro balíčky ve FlatHub, i když vezmeme v úvahu pouze ověřené balíčky, za jejichž publikaci odpovídají hlavní projekty, se sestavení provádí ve vnějších infrastrukturách, jejichž bezpečnost může vyvolávat pochybnosti.
Mezi výhody udržování vlastního repozitáře v Fedoře se uvádějí záruky, že balíček byl sestaven z deklarovaného zdrojového kódu a obsahuje pouze komponenty s otevřenými licencemi, které byly schváleny pro použití ve Fedoře. Balíčky v repozitářích Fedora mohou také obsahovat patche, které jsou k dispozici pouze pro RPM balíčky ve Fedoře a dosud nebyly přijaty do hlavního kódu projektů.
Návrh Michaela spočívá v zahrnutí podpory pro instalaci balíčků z FlatHub, které spadají do kategorie 'svobodného sw', do atomické verze Fedora Workstation jako výchozí. Možnost instalace z FlatHub se bude týkat pouze balíčků, které uživatelé instalují přes správce aplikací GNOME Software. Všechny balíčky flatpak, které jsou předinstalovány, budou i nadále stahovány z vlastního repozitáře Fedora, ale pro balíčky, které nejsou aplikovány jako výchozí, bude navrhováno použít FlatHub jako zdroj.
Před přechodem na FlatHub se navrhuje společně implementovat do FlatHub schopnosti pro sestavení balíčků v důvěryhodné infrastruktuře a zapojit kontroly založené na reprodukovatelných sestaveních. Kromě toho by mělo být vyřešeno použití zastaralých verzí Flatpak Runtime v balíčcích, do kterých již nebyly přeneseny opravy zranitelností. V současnosti 994 z 3438 (téměř třetina) ověřených balíčků z FlatHub používá zastaralé Runtime. Problémy se zabezpečením také vznikají z zastaralých vnitřních závislostí zahrnutých v balíčcích a z použití nedostatečných opatření pro sandboxovou izolaci (někteří vývojáři balíčků vypínají režimy ochrany).
Kromě Mikuláše se podobným návrhem připojil také Timothée Ravier: ve Fedoře 43 je navrženo pokračovat v dodávce předinstalovaných flatpak balíčků z repozitáře Fedora, ale přidat filtr, který dovolí instalaci vybraných ověřených aplikací z FlatHub. Mezi výhody navrhovaného řešení patří snížení zmatku u uživatelů a vývojářů hlavních projektů (vývojáři musí řešit chybová hlášení specifická pro flatpak balíčky Fedory, která jsou podávána jako by byla obsažena v oficiálním flatpak balíčku). Změna také sníží zátěž na údržbu a umožní jim soustředit se na přenos oprav do hlavních projektů a testování předinstalovaných flatpak balíčků.
Zdroj: opennet.ru
