Michael Catanzaro, en af udviklerne af webbrowseren Epiphany (GNOME Web), der deltager i projekterne GNOME og Fedora, har foreslået at genoverveje brugen af kataloget FlatHub i Fedora Linux. I den atomisk opdaterede udgave af Fedora Workstation foreslås det at aktivere kataloget FlatHub som standard for flatpak-pakker, der installeres af brugerne, mens det eget repository for flatpak-pakker begrænses til kun at anvendes til forudinstallerede pakker.
I øjeblikket tilbydes der i Fedora som standard et eget flatpak-repository, hvis indhold er baseret på genbygning af rpm-pakker. Som standard kan download af pakker fra FlatHub kun aktiveres efter installation ved at aktivere indstillingen "Enable Third-Party Repositories" i GNOME-applikationsmanageren, men selv i så fald har pakkerne fra Fedora-repositoryet en højere prioritet.
Ifølge Michael ville de fleste brugere foretrække at installere pakker fra kataloget FlatHub, som samles af de primære udviklere af applikationerne, snarere end af dem, der følger med Fedora (80% af deltagerne i diskussionen stemte for brugen af FlatHub). Det antages, at applikationsudviklerne bedre kender detaljerne i deres projekter og samler flatpak-pakker, der fungerer bedre og er mere grundigt testet af fællesskabet. Samtidig viser de understøttende rpm-pakker i Fedora ikke interesse for at vedligeholde varianter af pakker i flatpak-format og giver ikke tilstrækkelig opmærksomhed på fejlmeddelelser i sådanne pakker, hvilket fører til, at kvaliteten af flatpak-pakkerne fra Fedora er lavere end de, der findes i FlatHub, fra de primære projekter.
Mange brugere er ikke klar over, at hvis de installerer en flatpak-pakke gennem Fedora-applikationsmanageren, bliver den ikke installeret fra FlatHub, som det er tilfældet med andre distributioner, men fra Fedora-repositoryet, hvis pakker adskiller sig fra variantene fra FlatHub. Dette fører til, at problemer, der er specifikke for pakkerne fra Fedora-repositoryet, opfattes som problemer i de officielle pakker fra FlatHub, og klagerne rettes mod de primære udviklere og ikke mod dem, der følger med Fedora. For eksempel førte levering af den problematiske flatpak-pakke OBS Studio i Fedora, som havde højere prioritet end pakken fra FlatHub, til en konflikt med OBS Studio-projektet i februar.
Fremtiden for Fedora Workstation ses som en atomar opdateringsdistribution, så spørgsmålet om overgangen til FlatHub bør ikke forsinkes. Anvendelsen af et eget Flatpak-repositorium er begrundet i nødvendigheden af at bygge i et pålideligt miljø. For pakkerne i FlatHub, selv når der kun tages højde for de verificerede pakker, som de primære projekter er ansvarlige for, udføres bygning i eksterne infrastrukturer, hvis sikkerhed kan være tvivlsom.
Fordelene ved at opretholde et eget repository i Fedora inkluderer garantier for, at pakken er bygget fra den angivne kildekode og kun indeholder komponenter under åbne licenser, der er godkendt til brug af Fedora. Pakker i Fedora-repositoriet kan også inkludere patcher, der kun er tilgængelige for RPM-pakker i Fedora og endnu ikke er godkendt til den primære kodebase af projekterne.
Michaels forslag går ud på at inkludere støtte til installation af pakker fra FlatHub, der er i kategorien 'fri software', som standard i den atomare version af Fedora Workstation. Muligheden for installation fra FlatHub vedrører kun pakker, som brugerne installerer via GNOME Software-applikationsmanageren. Alle forudinstallerede flatpak-pakker vil fortsat blive hentet fra Fedora's eget repositorium, men for pakker, der ikke anvendes som standard, foreslås det at bruge FlatHub som kilde til hentning.
Før overgangen til FlatHub foreslås det at implementere muligheder for pakkeopbygning i en pålidelig infrastruktur i FlatHub og at anvende kontroller baseret på reproducerbare bygninger. Derudover bør spørgsmålet om anvendelse af forældede versioner af Flatpak Runtime i pakkerne, som ikke længere modtager sikkerhedsrettelser, adresseres. I øjeblikket bruger 994 ud af 3438 (næsten en tredjedel) af de verificerede pakker fra FlatHub forældede Runtime. Sikkerhedsproblemer opstår også som følge af forældede interne afhængigheder, der inkluderes i pakkerne, og anvendelse af utilstrækkelige sandkasse-isolationsforanstaltninger (udviklerne af nogle pakker deaktiverer beskyttelsesmodi).
Udover Michael fremlagde også Timothée Ravier et lignende forslag: i Fedora 43 foreslås det at fortsætte med at levere forudinstallerede flatpak-pakker fra Fedora-repositoriet, men tilføje et filter, der tillader installation fra FlatHub af udvalgte, verificerede applikationer. Fordelene ved den foreslåede løsning nævnes at være en reduktion af forvirringen hos brugere og udviklere af de vigtigste projekter (udviklere skal beskæftige sig med fejlmeddelelser, der er specifikke for Fedora's Flatpak-pakker, sendt som om de findes i det officielle flatpak-pakke). Ændringen vil også reducere belastningen på vedligeholdere og gøre det muligt for dem at fokusere på at overføre rettelser til de primære projekter og teste de forudinstallerede Flatpak-pakker.
Kilde: opennet.ru
