核心观点： 为了保护政府核心服务的数字根基，各国政府应该像投资道路桥梁一样投资开源软件，从单纯使用者转变为积极贡献者。

funding-open-source-like-public-infrastructure

十五年前，我提出了一个关于开源未来的理论，在《志愿驱动开源项目的商业化》一文中，我提出：如果开源想要蓬勃发展，就必须有人获得报酬来从事相关工作。当时这个想法很有争议，很多人担心金钱会腐蚀志愿精神，改变开源贡献的本质。

在那篇文章里，我不仅讨论了商业赞助的必要性，还进一步描绘了我认为开源将遵循的更大模式。我预测它会经历三个阶段： (1) 从志愿者开始，(2) 扩展到包含商业参与和赞助，最终 (3) 获得政府支持。

这个预测是基于其他公共产品和基础设施的发展规律。例如，贸易路线最初由志愿者开辟，后来由私营公司为了商业利益进行改善，最终成为政府运营的设施。学校、国防和许多其他公共服务也遵循了相同的模式。始于志愿者的努力，最终往往由政府接手维护，以造福社会。我认为开源软件也将会、并且应该遵循同样的三阶段路径。

过去十五年，付费维护开源软件已从有争议变为被广泛接受，像我在2015年作为天使投资人投资的“开放集体”(Open Collective) 这样的平台，让开源社区能够轻松、透明地接收和管理资金，推动了这一转变。

如今，开源软件支撑着全球大部分关键基础设施，它驱动着政府服务，支持着国家安全，让从公共卫生系统到选举的一切成为可能。这种深度依赖意味着其演化的第三阶段、也是最后阶段已经到来：政府必须帮助资助开源软件。

公共资金应补充志愿者和商业赞助者的作用，而不是取代他们。这不是慈善，也不是浪费税款。这是对我们赖以运行核心服务的软件的投资。如果没有它，在世界最需要这些关键基础设施的时候，我们却任其处于脆弱状态。

8.8万亿美元：开源依赖的成本
哈佛商学院2024年的研究《开源软件的价值》估计，替换最广泛使用的开源软件将耗费全球8.8万亿美元，如果开源软件突然消失，组织在软件上的花费将比现在多3.5倍，更惊人的是：这8.8万亿美元中的96%，仅依赖于5%的贡献者。

这种高度集中带来了脆弱性。我们的大部分数字基础设施依赖于一小群维护者，而他们往往缺乏稳定的资金或长期支持。当他们精疲力竭或退出时，关键系统就可能面临风险。

维护开源并非免费。它需要开发者修复漏洞，维护者协调版本发布，安全团队修补漏洞，用户体验专家确保软件易用。没有可靠的资金，这些关键任务难以持续，使我们数字社会的根基暴露在风险之中。

解决这个风险，不仅意味着重新思考资金，还包括治理、继任规划，以及如何支持那些维持社会运转的人和项目。

数字主权关乎生存
近期的地缘政治紧张和政策不确定性，让各国政府更加意识到依赖外国控制的专有软件的风险。全球范围内，人们越来越认识到，政府不能承受失去对自身数字基础设施控制权的代价。

丹麦最近宣布了一项国家计划，通过在整个公共部门采用开源工具来减少对专有软件的依赖。

这反映了一个简单的事实：当关键公共服务依赖于外国控制的软件时，政府就失去了向公民保证服务连续性和安全性的能力。它们容易受到自身无法控制的政策变化和地缘政治压力的影响。

正如丹麦数字化部所解释的，这种转变关乎控制权、责任担当和韧性，而不仅仅是节省成本。其他欧洲城市和国家也在制定类似战略。这不再仅仅是一个IT决策，而是保护国家安全、保障基本公共服务连续性的战略必需。

从开源使用者到开源贡献者
大多数政府机构严重依赖开源软件，但回馈甚少。赞助通常通过供应商合同进行，虽然有些供应商会向上游贡献，但与这些机构对项目的依赖程度相比，总体支持水平微不足道。

采购实践常常加剧了这个问题，合同通常授予出价最低者或知名的大型IT供应商，而非那些拥有深厚开源专业知识并有回馈记录的公司，那些帮助维护开源项目的公司，经常被什么也不回馈的公司低价抢单。这造成了一场“劣币驱逐良币”的竞赛，最终削弱了政府所依赖的开源项目。

正如我在《平衡创造者与获取者以扩展和维持开源》一文中讨论的，可持续的开源需要解决使用与贡献之间的根本性不匹配问题。

政府需要从开源使用者转变为开源贡献者，驱动政府服务的数字基础设施，理应得到与连接我们社区的道路桥梁同等级别的投资承诺。

Drupal的故事就是例证
我领导Drupal项目已近25年，这期间我亲眼见证了政府对开源软件的深度依赖。

欧盟委员会运行着100多个Drupal站点，法国运营着超过1000个Drupal站点，澳大利亚政府已将Drupal标准化为其国家数字平台。然而，尽管使用如此广泛，这些机构大多对Drupal的开发和维护贡献甚微。

这不仅仅是Drupal的问题，并且完全是开源用户的合法权利——并没有强制贡献的要求。但在许多项目中，一小群维护者和少数公司承担着为数百万人所依赖的基础设施负重前行的责任。没有更广泛的支持，这种不平衡会危及政府赖以运行的系统本身的稳定性。

许多公共机构使用开源软件却不参与其维护，虽然这合法，但却将所有维护成本转嫁给了少数贡献者。长此以往，这些机构自身依赖的服务也将面临风险。更好的采购和政策选择可以帮助更多公共机构转变为积极的贡献者。

政府主导的开源治理正在兴起
呼吁政府参与开源基础设施的当然不止我一人，近年来，包括联合国在内的各国政府和政府间组织，已开始增加对开源的投资。

2020年，联合国秘书长的《数字合作路线图》呼吁全球投资包括开源软件在内的“数字公共产品”，以帮助实现可持续发展目标。五年后，联合国推出了《联合国开源原则》，鼓励“默认开放”和“回馈上游”等实践。

在欧盟层面，《网络韧性法案》(Cyber Resilience Act) 承认开源软件维护者是“经济主体”，认可他们在保障基础设施安全和可靠方面的作用。在德国，“主权技术基金”(Sovereign Tech Fund) 已向60多个支撑关键数字基础设施的开源项目投资了2600万欧元。

政府和公共机构也在创建开源项目办公室 (OSPO) 来协调政策、鼓励贡献并确保长期可持续性。在欧洲，欧盟委员会的OSPO运营着 code.europa.eu 平台以促进跨境协作。在美国，医疗保险和医疗补助服务中心(CMS)、美国数字服务(USDS)、网络安全和基础设施安全局(CISA) 以及美国数字军团(U.S. Digital Corps) 等机构扮演着类似的角色。在拉丁美洲，巴西的“自由软件门户”(Portal do Software Livre) 支持政府间的协作。

这些努力标志着机构层面正从单纯使用开源软件，转向积极管理和投资开源。

这笔账算起来有点离谱
如果排名前100位的国家每年各向一个开源项目贡献20万美元，那么这个项目每年就会有2000万美元的预算，这笔钱大约只够维护不到16公里（10英里）的高速公路。

在我的祖国比利时，人口仅一千多万，每年用于维护道路的费用超过10亿欧元。这笔钱的很小一部分就能帮助保障像Drupal这样为数百万比利时人提供公共服务的开源软件的未来。

用维护16公里高速公路的钱，我们就能保障好几个支撑关键公共服务的核心开源项目的未来，这笔账算起来有点离谱（性价比极高）。

政府可以如何助力
就像政府维护社会依赖的道路、桥梁和公用设施一样，它们也应该帮助维持那些在数字等领域驱动关键服务的开源项目，与其他公共基础设施相比，所需的投资规模其实很小。

政府可以通过以下几种方式实现：

追踪关键开源项目的健康状况： 就像我们对桥梁进行安全评级一样，政府应定期检查其所依赖的开源项目的健康状况。这意味着设定明确的目标，例如在X天内解决安全问题、拥有Y名活跃维护者、保持所有第三方软件组件更新等。当一个项目落后时，政府应介入并提供有针对性的支持，包括直接资助、雇用贡献者或与合作伙伴合作稳定项目。
承诺长期稳定的资金： 就像政府提前数年规划公路维护一样，对关键数字基础设施进行多年期的资金承诺和规划将大有裨益。长期资金使项目能够解决技术债务、规划重大更新、招募人才，而无需不断担忧短期筹款的不确定性。
在政府合同中鼓励贡献： 政府可以利用采购来强化其依赖的开源项目。供应商的贡献应成为授予合同的关键因素之一，与价格、质量等标准并列。可以要求或鼓励机构或供应商通过编码、编写文档、安全审查、设计工作或直接资助等方式进行回馈。这确保了政府与真正的专家合作，同时有助于保持关键开源项目的健康和可持续性。
采用“公共资金，公共代码”政策： 当纳税人资金用于开发公共使用的软件时，该软件应作为开源软件发布。这避免了重复支出，并构建了任何人都可以复用、改进和帮助保护的共享数字基础设施。“公共资金？公共代码！”原则提供了一个清晰的框架：由公众资金支付的代码应可供公众使用。瑞士最近在联邦层面通过其《EMBAG法》采纳了这种方法，要求政府开发的软件必须作为开源发布，除非第三方权利或安全问题阻止这样做。
推广成功的直接资助模式： 德国主权技术基金已经展示了政府项目如何直接资助关键开源软件的维护和安全，其他国家应效仿并扩展这一模式，替换广泛使用的开源软件估计需要花费8.8万亿美元，公共投资应与其重要性相匹配，在全球范围内为各国和各项目提供持续数十亿美元的资金支持。
在公立学校和大学教授开源： 政府不应仅仅依赖微软等专有供应商，而应将开源工具、实践和价值观，以及开放标准、开放数据等相关领域，纳入学校和大学的课程，这能让学生做好充分参与开源的准备，培养理解开源的人才梯队，并增强数字自主能力。

确保核心稳固
对政治干预或丧失独立性的担忧是合理的，因此，我们需要建立允许所有利益相关方共存而不相互损害的制度。

政府资金应强化使开源蓬勃发展的生态系统，而不是取代或控制它。企业和志愿者是创新的强大推动力，推动新功能、实验和快速改进。政府更适合扮演一个不同但同样至关重要的角色：确保稳定性、安全性和长期可靠性。

开源中最关键的任务往往是最不起眼的，修复漏洞、修补安全缺陷、更新第三方依赖项、改进可访问性、维护文档——这些很少成为头条新闻，但没有它们，创新就无法建立在稳定的基础上。这些任务也最容易被忽视，因为它们不能直接为公司产生收入，需要持续投入，并且对志愿者的吸引力较低。

政府已经在维护道路、桥梁和公用设施——这些基础设施至关重要，但对私营部门来说并不总是有利可图或令人兴奋。数字基础设施理应得到同等待遇。公共投资可以保持这些核心系统的健康运行，而创新和功能发展方向则继续掌握在最了解技术的社区和公司手中。

结语
十五年前，我提出开源需要商业赞助才能蓬勃发展，在我们面临下一个挑战：政府必须从使用开源转向维持开源。如今，一些开源软件已成为公共基础设施。让关键基础设施依赖于过少的维护者，这是任何社会都不应承担的风险。解决方案需要协调一致的政策改革：专门的资助机制、奖励上游贡献的采购方式以及长期投资框架。

特别感谢 Baddy Sonja Breidert, Tim Doyle, Tiffany Farriss, Mike Gifford, Owen Lansbury 和 Nick Veenhof 审阅本文并贡献意见。

— Dries Buytaert

原文：https://dri.es/funding-open-source-like-public-infrastructure

将开源软件当作公共基础设施来投资

POPULAR POSTS

CATEGORIES