Michael Catanzaro, en av utviklerne av nettleseren Epiphany (GNOME Web) og en bidragsyter til både GNOME- og Fedora-prosjektene, har foreslått å revurdere bruken av FlatHub-katalogen i Fedora. LinuxI den atomisk oppdaterte utgaven av Fedora Workstation foreslås det å bruke FlatHub-katalogen som standard for flatpak-pakker installert av brukere, og å begrense det opprinnelige flatpak-pakkearkivet til kun å brukes for forhåndsinstallerte pakker.
For øyeblikket tilbyr Fedora sitt eget flatpak-depot som standard, hvis innhold dannes basert på gjenoppbygging av rpm-pakker. Som standard kan nedlasting av pakker fra FlatHub bare aktiveres etter installasjon ved å aktivere alternativet "Aktiver tredjepartsdepoter" i GNOME-programbehandleren, men selv i dette tilfellet har pakker fra Fedora-depotet høyere prioritet.
Michael mener at de fleste brukere foretrekker å installere pakker fra FlatHub-katalogen, som er bygget av hovedutviklerne av applikasjoner, snarere enn av Fedoras vedlikeholdere (80 % av deltakerne i diskusjonen snakket for å bruke FlatHub). Antagelsen er at applikasjonsutviklere er mer kunnskapsrike om nyansene i prosjektene sine og bygger bedre ytelsesrike flatpak-pakker som har blitt bedre testet av fellesskapet. Samtidig viser vedlikeholderne av rpm-pakker i Fedora ingen interesse for å vedlikeholde varianter av flatpak-pakker og tar ikke tilstrekkelig hensyn til feilmeldinger i slike pakker, noe som fører til at kvaliteten på flatpak-pakker fra Fedora er lavere enn på hovedprosjektenes FlatHub-pakker.
Mange brukere er ikke klar over at når man installerer en flatpak-pakke via Fedora Application Manager, installeres den ikke fra FlatHub, som i andre distribusjoner, men fra Fedora-depotet, som har andre pakker enn FlatHub. På grunn av dette oppfattes problemer som er spesifikke for pakker fra Fedora-depotet som problemer i offisielle FlatHub-pakker, og klager rettes til kjerneutviklerne, ikke Fedora-vedlikeholderne. For eksempel førte leveringen av en problematisk OBS Studio flatpak-pakke til Fedora, som hadde høyere prioritet enn FlatHub-pakken, til en konflikt med OBS Studio-prosjektet i februar.
Det bemerkes at fremtiden til Fedora Workstation ses på som en atomisk oppdatert distribusjon, så det er bedre å ikke utsette spørsmålet om å bytte til FlatHub. Bruken av et proprietært Flatpak-repository skyldes behovet for å bygge i et pålitelig miljø. For pakker i FlatHub, selv om vi bare vurderer verifiserte pakker, som hovedprosjektene er ansvarlige for publiseringen av, utføres byggingen i eksterne infrastrukturer, hvis sikkerhet kan være tvilsom.
Fordelene med å vedlikeholde ditt eget repository i Fedora inkluderer garantier for at pakken er bygget fra den deklarerte kildekoden og kun inneholder komponenter under åpne lisenser som er godkjent for bruk av Fedora. Pakker i Fedora-repositoryet kan også inneholde patcher som kun er tilgjengelige for RPM-pakker i Fedora og som ennå ikke er akseptert i prosjektets hovedkodebase.
Michaels forslag koker ned til å muliggjøre støtte for å installere pakker fra FlatHub som er i kategorien «fri programvare» som standard i atomutgaven av Fedora Workstation. Muligheten til å installere fra FlatHub vil bare påvirke pakker som brukere installerer via GNOME Software-applikasjonsbehandleren. Alle flatpak-pakker som er forhåndsinstallert som standard vil fortsatt lastes ned fra Fedoras eget repository, men for pakker som ikke brukes som standard, foreslås FlatHub brukt som en nedlastingskilde.
Før migrering til FlatHub foreslås det å i fellesskap implementere FlatHubs mulighet til å bygge pakker på en pålitelig infrastruktur og bruke kontroller basert på reproduserbare bygg. I tillegg bør problemet med bruk av utdaterte Flatpak Runtime-versjoner i pakker, der sårbarhetsrettinger allerede er avviklet, tas opp. For øyeblikket bruker 994 av 3438 (nesten en tredjedel) av de kontrollerte pakkene fra FlatHub utdaterte Runtime-versjoner. Sikkerhetsproblemer oppstår også på grunn av utdaterte interne avhengigheter inkludert i pakker og utilstrekkelige sandkassetiltak (noen pakker har sikkerhetsmoduser deaktivert).
I tillegg til Michael har Timothée Ravier også kommet med et lignende forslag: Fedora 43 vil fortsette å sende forhåndsinstallerte flatpak-pakker fra Fedora-depotet, men vil legge til et filter som vil tillate installasjon av utvalgte, verifiserte applikasjoner fra FlatHub. Fordelene med denne foreslåtte løsningen inkluderer å redusere forvirring for brukere og utviklere av hovedprosjektene (utviklere må sortere ut feilmeldinger spesifikke for Fedora Flatpaks som sendes under dekke av å være i den offisielle flatpak-en). Endringen vil også redusere arbeidsmengden for vedlikeholdere, slik at de kan fokusere på å presse rettelser til hovedprosjektene og teste standard Flatpaks.
Kilde: opennet.ru
