知名開源網盤應用Alist被收購 存在使用風險

6月11日，知名開源網盤應用Alist疑似被收購一事在開源社區引發廣泛關注。據多方消息顯示，該項目已被"貴州不夠科技"公司收購，原開發者Xhofe已從所有社交羣組中退出並不再回複相關問題。

Alist是一個能夠將40多款主流網盤聚合到一個網頁上進行文件管理、視頻播放等操作的開源項目。項目在開源社區擁有較高知名度和廣泛用戶基礎。

多處異常變更被發現

用戶發現項目出現了多項可疑變更：

文檔和下載鏈接被修改：項目官網域名從原來的alist.nn.ci更換爲alistgo.com，中文文檔被大幅修改，加入了微信鏈接等非技術內容。

Docker鏡像被替換：官方文檔中的Docker鏡像被替換爲alist666/alist，該鏡像與原官方鏡像xhofe/alist在同架構下大小不一致。目前這個可疑鏡像已有約4000次拉取。

代碼提交異常：GitHub上的修改記錄顯示，相關變更並非由原開發者賬戶提交，而是由新註冊的賬戶完成，這引發了社區的質疑。

管理權變更：項目官方羣組管理員出現大換血，原管理員去向不明。

“投毒”風險引擔憂

社區最關心的是潛在的供應鏈投毒風險。據報道，此前金華某公司收購Oneinstack和LNMP後曾嘗試進行投毒，但被安全公司發現。

"貴州不夠科技"此前還收購了Java工具庫Hutool。有用戶指出，該公司收購的開源軟件都出現了異常情況。

目前最大的風險在於，Alist使用了私有API服務，如果原開發者不再提供相關API支持，用戶可能面臨無法使用的困境。

社區應對建議

面對當前情況，技術社區給出了以下建議：

• 暫緩更新：建議現有用戶不要更新現有部署，新用戶暫時不要部署該項目

• 等待社區解決方案：已有貢獻者開始進行項目fork，爲用戶提供替代選擇

• 保持警惕：密切關注項目後續發展，避免潛在安全風險

開發者最新回應

據最新消息，原開發者曾回應稱"項目已交由公司運營"，並表示會幫忙審查開源版本倉庫的代碼，確保release的分發由CI自動構建。然而，社區對此回應仍存質疑，有用戶擔心"作者不會連自己賬號都賣了吧"。

開源博主對 AList 的評價