← #813

撑起互联网的那些人

文章摘要

这是 sheets.works 推出的一篇滚动式数据可视化报道（Data Drop 栏目），出发点是 xkcd 第 2347 号漫画《Dependency》：一座标着”全部现代数字基础设施”的高塔，底下只靠一块小积木撑着，旁边写着”内布拉斯加某个无名人士自 2003 年起默默维护的项目”。作者想核实这幅漫画有多接近事实。他们下载了手机、浏览器和服务器依赖的 23 个开源项目的完整提交历史，统计 2025 年 10 月到 2026 年 10 月间提交过 10 次以上的贡献者，再逐一核对安卓 16 镜像、iOS 26.2 开发包和 Windows 里实际装了哪些组件。结论是：23 个项目里有 11 个，日常工作由一两个人承担。设备数量只算安卓、iPhone 和 Windows，没算 Mac、服务器、汽车和电视，所以都是下限。

文章随后逐个介绍这些维护者：

时区数据库（tz）：记录各国政府公布过的全部时钟规则，所有安卓手机、iPhone 和大多数服务器都靠它显示本地时间，仅手机就约 40 亿台。维护者是 UCLA 讲师保罗·埃格特（Paul Eggert），自 2012 年起利用业余时间担任官方协调人。9 月 29 日他发布了 2026e 版，第一条说明是加拿大马尼托巴省将于 10 月 31 日改为永久 UTC-5，提前一个月通知温尼伯的手机不要在 11 月 1 日回拨时钟。过去一年 251 处改动中，218 处出自他手，28 处出自蒂姆·帕伦蒂。2011 年一家占星软件公司起诉他和数据库创始人阿瑟·奥尔森，邮件列表一度被关停，后来 IANA 接手，EFF 免费提供辩护，对方于 2012 年撤诉。2020 年埃格特请邮件列表把帕伦蒂定为他的后备人选，”以防我因为退休或其他原因不在了”。
xz：几乎所有 Linux 服务器和每台 iPhone 里都有的压缩工具，由芬兰的拉塞·科林（Lasse Collin）维护。2022 年他在邮件里写道这是个”无偿的业余项目”，自己因长期心理健康问题精力有限。当时有自称 Jigar Kumar、Dennis Ens 的账号不断抱怨进度太慢，一个叫 Jia Tan 的贡献者则持续提交有用的修复。科林给了 Jia Tan 更多权限，2023 年 Jia Tan 的改动数（304）已超过科林（172）。2024 年 2 月，Jia Tan 发布的版本里藏了一个 Linux 服务器后门，3 月 29 日被微软工程师安德烈斯·弗罗因德因登录占用 CPU 异常而发现。至今没人知道 Jia Tan 是谁。此后又只剩科林一人，2025 年他写了 97% 的改动。
core-js：让新版 JavaScript 能在旧浏览器上运行，据作者自己统计，全球访问量前一千的网站中约一半在用。作者丹尼斯·普什卡廖夫 2019 年在无薪全职维护它，为了生活成本低住在俄罗斯。据他自述，一次凌晨开车回家时撞了两名年轻女子，其中一人死亡。他在每次安装 core-js 时的终端里加了一条求助或求职的消息，数百万开发者看到了，很多人抱怨这条消息。募捐只筹到每月 57 美元。他于 2020 年 1 月入狱，约十个月后提前获释；他坐牢期间下载量几乎翻倍。今年他写了 95% 的改动，GitHub 上只有两位赞助者。
sudo：托德·米勒（Todd Miller）从 1990 年代初维护至今，比 Linux 存在的时间还长；2008—2018 年 5409 次改动中有 5408 次是他的。2026 年 2 月他公开寻求赞助，经 The Register 报道后，Open Collective 年预算达到约 6.17 万美元，成为统计中资金最充足的单人项目。
libjpeg-turbo：安卓、Chrome 和 Edge 里所有 JPEG 都靠它解码，2019 年成为 ISO 和 ITU 的 JPEG 参考实现。维护者 DRC 把它当作小生意独自经营，曾说通用资金只够”每月约 8 到 10 小时的工作量”，今年写了 98% 的改动。
SQLite：过去一年只有 4 人修改过它，却在每部安卓手机、iPhone、Mac、Windows 10/11 和所有主流浏览器里。理查德·希普（D. Richard Hipp）在为美国海军驱逐舰开发软件时，受够了独立数据库服务器一宕机就出问题，于是在 2000 年写了这个单文件数据库。项目估计全球有超过一万亿个 SQLite 数据库在使用，团队靠出售技术支持维持。开发者名单和照片页面已经撤下，理由是”世上有很多疯子”。
zlib：1995 年由马克·阿德勒和让-卢普·盖伊共同编写，存在于 PNG、网页、Git、安卓、iPhone 和 Chrome 中。阿德勒的另一份工作是管理 NASA 的”勇气号”火星车。过去一年主要靠两个人维护，阿德勒没有赞助页面，zlib 也不在任何公开资助名单上。
bash：切特·拉米（Chet Ramey）大约从 1990 年起一边在凯斯西储大学网络组上班一边维护它。2014 年曝光的 Shellshock 漏洞影响数亿台机器，源头那行代码是 1989 年 8 月加进去的，潜伏了 25 年。bash 公开历史中的每一次改动都出自他。
HarfBuzz：决定字母如何连接、排布的字形整形引擎，用在安卓、Chrome、Firefox、Kindle、Figma 等产品里。对印地语、阿拉伯语、泰米尔语等文字来说，没有它就只能显示一排拆散的字母。贝赫达德·埃斯凡德博德（Behdad Esfahbod）今年写了 85% 的改动。
curl：相对健康的例子。今年有 11 人日常参与，创始人丹尼尔·斯滕伯格已经不是提交最多的人；他靠企业付费支持全职维护，Open Collective 年收入约 8.97 万美元，德国公共开源基金也拨了 19.5 万欧元。

OpenSSL 与 xz 的对照。 2014 年 Heartbleed 漏洞让攻击者能从约 17% 的可信 HTTPS 服务器内存中读出密码和私钥。当时 OpenSSL 基金会每年只收到约 2000 美元捐款，只有一人全职工作。两个月内 Linux 基金会从科技公司募到 540 万美元，OpenSSL 随后有了两名带薪开发者和一次代码审计，日常贡献者从 6 人增加到 14 人，2026 年已达 32 人。反观 xz 后门被发现后，作者没找到任何新的资金流入，至今仍只有一人。

钱流向哪里。 德国主权技术局（Sovereign Tech Agency）自 2022 年起资助了约 90 个项目，Alpha-Omega 去年发放了近 600 万美元，但这些钱都给了能申请、能写报告的组织：log4j、FFmpeg、OpenSSL、OpenSSH、curl 都拿到了资助，而时区数据库、SQLite、zlib、libjpeg-turbo、HarfBuzz、xz、bash、nghttp2 都找不到公开资助。文章最后讲了 libxml2：它的 README 直到 2025 年 12 月还写着”由业余爱好者编写、单个志愿者维护、测试不足、用内存不安全的语言写成、充满安全漏洞”，而它装在 56 亿台设备上。维护了约十年的尼克·韦尔恩霍费尔于 2025 年 9 月宣布卸任，12 月把自己移出维护者名单，大约 12 小时后新的维护者被加了进来。

HN 评论精华

讨论约 70 条，主要分成两块：一是很多人吐槽页面的滚动动画设计；二是开源维护者该不该、该怎样获得报酬，其中许可证和税收的争论最激烈。

对页面形式的不满

smashed 说内容有意思，但这种形式在手机上很难读。georgemcbay 在桌面上也只看了几”页”就关掉了，觉得复杂的动画只是在喊”看我多酷”。alt227 讨厌一切劫持滚轮做动画的网站；reddalo 说内容不错，但”滚动联动动画是现代网页的癌症”。aembleton 建议用浏览器的阅读模式，tosti 则指出阅读模式虽然解决了无障碍问题，但会把图表全部隐藏。rpozarickij 让 Codex 花 10 分钟生成了一个可以正常滚动阅读的版本，Drupon 回他：”你本可以像正常人一样直接滚着看完。”

怎样给维护者钱

jdw64 提问：对于这类”巴士因子”为 1 的底层项目，应该建立什么机制来确定谁该得到报酬？成立委员会又可能变成靠人脉的小圈子。dyauspitr 建议开发者直接给大公司写信，各要几百万美元；alpaca128 回忆说，某开源 XML 库的维护者曾为修复严重漏洞联系过几十家公司，多数没回复，只有两家帮了忙，其余基本都说”不关我们的事”。
mentalgear 认为，万亿美元级公司建立在理想主义维护者几乎免费的劳动之上，问题出在默认采用宽松许可证，而不是”营收超过百万须付费”的限制性商业许可或 AGPL。pseudony 赞同，认为这暴露了 BSD/MIT 许可证的短板。graemep 不同意：许可证是作者自愿选的，就像邻居在墙头放了几袋苹果让人随便拿，拿的人没有付钱的义务；缺钱的项目完全可以改用 GPL/AGPL 再出售商业授权。em-bee 反驳说问题不在免费，而在用户拿了免费代码还要求及时修 bug；改许可证只会让大公司不再使用，并不会让他们付钱。cyberrock 补充说，时区数据库本来就是刻意放进公有领域的。
vbezhenar 建议由国家给这类开发者发津贴，Havoc 指出文中的德国已经在这么做。blitzar、thefz 认为应该向巨头征税，而不是让普通纳税人掏钱；bob1029 则问津贴的门槛是什么、怎样防止滥用。
brynet 以 OpenBSD 开发者身份呼吁捐款：很多开发者还在用五到十年前的 ThinkPad，OpenBSD 基金会 2026 年的筹款目标还差约 23%。他也请大家直接资助具体的个人贡献者。fragmede 分享了自己用 Claude 写的小工具 Fundcli，它会扫描你的 shell 历史，建议你该给哪些项目捐款。

质疑文章框架

socalgal2 直言不喜欢这种框架：开发者被车撞了，项目会被 fork，大家继续往前走；”撑起互联网的人”还包括谷歌、微软、苹果、亚马逊的成千上万名员工。charcircuit 认为文章忽略了一级骨干网运营商的员工；perlgeek 回应说区别在于他们拿工资，有人离职时有组织负责招人补上。
bob1029 认为如果时区数据库和 SQLite 团队明天全部消失，微软和谷歌一个周末就能恢复运转，并质疑是否真有证据表明这些关键维护者在经济上挣扎。throwfaraway135 用汽车螺丝作比喻：关键但便宜、可替换，不应把”图方便的依赖”和”不可或缺的依赖”混为一谈。rororoyourboat 反驳说这些可不是 left-pad 那种小函数；hdrz 指出时区数据库里有大量历史考据，谷歌、苹果能做出一个凑合能用的替代品，却替代不了其中积累的知识，也不会被普遍接受。
cadamsdotcom 认为撑起互联网的是软件而不是人，维护工作量不随装机量增长，这些维护者也不是为了钱。colesantiago 认为有了 AI，企业可以直接 fork 或重写，没必要再付钱给维护者；beej71 也悲观地说，对多数公司来说，用工时和 token 做出原版 85% 水平的替代品就够了。
kabakabakaba 感叹 xz 的故事太令人沮丧：”唯一站出来帮他的人，是想植入后门的那个。” IAmBroom 说这个讨论串让他想起关于玛格丽特·汉密尔顿的那次讨论，总有人说”我也能做得更好”，而为真正做事的人喝彩是值得的。