часто ли вы смотрите исходные файлы открытого ПО, которым пользуетесь?

ну на предмет уязвимостей, телеметрии или еще чего

На предмет отсутствия вменяемой документации 😕

Если зайти на гитхаб какого-то сколь либо используемого проекта, то можно найти кучу закрытых пулл реквестов от разных людей. Так что смотрят.

Я даже состав продуктов не читаю, о чём ты вообще

да, на предмет исправления/поиска багов. при этом, в 100% случаев, код написан на Питоне.

Только если что-то работает не так (например, не собирается во время опакечивания — в этом случае пишется патч). А так, дальше документации практически никогда не ухожу.

Единственное исключение — программы из Plan 9, потому что они маленькие и код вполне читаем, из-за чего модифицировать тот же Acme одно удовольствие.

Так и запишем: софт на питоне жутко забагован, без правки исходных кодов пользоваться невозможно.

Всё так.

Иногда заглядываю, пытаясь грубо оценить общую упоротость, соблюдение best practices, наличие тестов. Это если есть выбор и нужен окончательный аргумент. Форкать, что-то там вырезать и пересобирать слишком много времени отнимает в общем случае. Откровенную бяку вырезают мейнтенеры дистрибутивов, для того они и нужны.

телеметрия

Напомнило нулевые, когда линуксоиды троллили виндузятников, блокирующих исходящую сетевую активность программ фаерволом.

Был бы упоротым карсноглазиком - смотрел бы.

А так... Мне и так дофига чем заняться и поизучать есть.

Упоротых красноглазиков вполне хватает, чтобы я не особо волновался.

Да. Я ничего против красноглазиков не имею. Честь им и хвала.

Фрагмент из выхлопа статического анализатора:
185/259 files checked 61% done
Checking bash-5.0/lib/sh/snprintf.c ...
Checking bash-5.0/lib/sh/snprintf.c: DEBUG;MACOSX...
Checking bash-5.0/lib/sh/snprintf.c: DRIVER...
[bash-5.0/lib/sh/snprintf.c:1859]: (error) Null pointer dereference
[bash-5.0/lib/sh/snprintf.c:1738]: (error) va_list 'args' used before va_start() was called.
[bash-5.0/lib/sh/snprintf.c:1788]: (error) va_list 'args' used before va_start() was called.
[bash-5.0/lib/sh/snprintf.c:1790]: (error) va_list 'args' used before va_start() was called.
[bash-5.0/lib/sh/snprintf.c:1792]: (error) va_list 'args' used before va_start() was called.
Checking bash-5.0/lib/sh/snprintf.c: DRIVER;HAVE_ASPRINTF=0;HAVE_SNPRINTF=0...
Checking bash-5.0/lib/sh/snprintf.c: DRIVER;HAVE_CONFIG_H...
Checking bash-5.0/lib/sh/snprintf.c: DRIVER;HAVE_CONFIG_H;__linux__...
Checking bash-5.0/lib/sh/snprintf.c: HANDLE_MULTIBYTE;HAVE_ASPRINTF=0;HAVE_SNPRINTF=0...
[bash-5.0/lib/sh/snprintf.c:945]: (error) Memory leak: lbuf
Checking bash-5.0/lib/sh/snprintf.c: HAVE_ASPRINTF=0;HAVE_ASPRINTF=0;HAVE_SNPRINTF=0...
Checking bash-5.0/lib/sh/snprintf.c: HAVE_ASPRINTF=0;HAVE_ASPRINTF=0;HAVE_SNPRINTF=0;__STDC__...
Checking bash-5.0/lib/sh/snprintf.c: HAVE_ASPRINTF=0;HAVE_SNPRINTF=0...
Checking bash-5.0/lib/sh/snprintf.c: HAVE_ASPRINTF=0;HAVE_SNPRINTF=0;HAVE_LOCALECONV...
Checking bash-5.0/lib/sh/snprintf.c: HAVE_ASPRINTF=0;HAVE_SNPRINTF=0;HAVE_MEMMOVE...
186/259 files checked 63% done

PS: сам код не смотрел. Возможно авторы и сами код тоже по трезвому не смотрят.

А теперь scan-build -analyze-headers --force-analyze-debug-code -o .scan -k --status-bugs -v --view -stats -internal-stats make

Bug Type Quantity Display?
All Bugs 250

API
Argument with 'nonnull' attribute passed null 9

Dead store
Dead assignment 163

Dead increment 3

Dead initialization 1

Logic error
Assigned value is garbage or undefined 7

Branch condition evaluates to a garbage value 7

Dereference of null pointer 42

Garbage return value 4

Result of operation is garbage or undefined 7

Uninitialized argument value 2

Memory error
Memory leak 4

Security
Potential insecure temporary file in call 'mktemp' 1

И напоследок: https://scan.coverity.com/projects/bash

Раньше только программ с варезников, с приходом шиндовс 10, ещё и сетевую активность системы.

Раньше только программ с варезников, с приходом шиндовс 10, ещё и сетевую активность системы.
шиндовс 10

Это поделие даже из залитого свинцом и метровым слоем бетона отключённого от электричества бункера найдёт абдейты, удаляющие профиль пользователя, и накатает. Скайнет, на который мы заслужили.

На предмет уязвимостей нет, я не спец. в криптографии.

А в целом бывает, иногда даже правки какие-то вношу личные или отправляя контрибьюторам. Если попадётся явная уязвимость, я, конечно, сообщу. Но это ж ещё увидеть надо.

Ни разу не смотрел. А ты?

аналогично, я ж не погроммист какой. ПО меняю, если оно начинает себя вести вызывающе недружелюбно после обновлений. а после того как смартфоны стали подслушивать разговоры, вообще забил на всякие телеметрии. сейчас бОльшее подозрение и опасность может вызвать поведение отличное от большинства, чем сбор каких-либо пользовательских данных.

ну, если вижу, что приложение ведёт какую-то странную деятельность в сети, например. или когда патчу какие-то вещи в коде. если что-то не нравится - вырезаю. но всё пересмотреть нельзя, понятное дело.

Это часть моей работы.

Где ты работаешь? Сколько платят?

Уязвимости - это не криптография.

А пацаны-то не знали.

Либо криптография, либо качество кода. При этом на висячие указатели в десктопной прикладухе вот как-то чёт пофиг.

Смотрел исходники KeePassX 0.4.4, и продолжаю ей пользоваться, ибо она заморожена, и никаких свистелок туда не добавляется.

Работаю в разных местах, но делаю примерно одно и то же. Платят хорошо.

Есть зато fuckit, который все пофиксит за тебя: https://github.com/ajalt/fuckitpy