Antd 的彩蛋不仅让开发者被炒，对视力障碍者影响也很大

[nohup]

这里不讨论 button 上面的雪花，其实我个人是无所谓的。
但是比较让人费解的是把 button 的 title 改成 HOHOHO，讲道理，这是什么意思我猜了半天都猜不出来。我们公司系统用了很多 Antd 作为开源库，很感谢这么好用的库能贡献出来，但是这样的彩蛋直接影响到了用户，让我们用户几个小时都无法正常使用应用(他们视力不太好，特殊用户)。
我觉得能搞出这种彩蛋的，真的一点社会责任感都没有。明知 Antd 项目影响力很大，但是依旧随意就推这种彩蛋，我的理解这不是彩蛋，而是炸弹，一点也没考虑视力障碍者，说好的 Web 开发无障碍访问呢？
知乎始作俑者偏右还说人手不够没来得及优化，那就有时间来加这种残害用户的炸弹了？我虽然没给钱，但是信任他本身说自己是企业级的，现在又搞出这种低级幼稚错误，changelog 又不说明。

所以这个帖子是在吐槽始作俑者，我猜肯定会有睿智说一些睿智话如：

• 有种自己开发啊，别人给你用还那么多 BB*

嗯，是的，我们不想因为 Antd 没有责任感导致我们也丢失了责任感。我们的系统将会逐步重构，完全除去 Antd 以及套件。从阿里开源的各个产品，我们同事一致觉得都很难用，尤其是 roadhog，这种套个 Webpack 形式再搞自己定义的配置，比起 Parcel 自己重头写不知道丢脸到什么程度了，我拜读过源码，发现质量真不敢恭维，发个 Issue 还爱理不理的，这是在砸自己脚。
希望各位投入于企业级应用，下次在选型的时候留意一下 Antd，这是一个不负责任的、随意加跳蛋的开源库。
什么是企业级应用？就比如 ExtJS，虽然他是收费的，但是他真正做到了企业级应用的口碑，并且让人十分信任。
我建议要不 Antd 也搞收费吧，弄一个收费版本的，并且说免费版本的完全不负责，可以顺便加个脚本挖矿支持一下 Antd。如果不收费你就不要说自己是企业级应用了，不仅让国内开发者觉得丢脸，而且国外开发者也觉得中国顶尖开源库也这么随意。

简单一句，Antd，尽管你是免费开源的，但是你真的不配标榜企业级应用

[hjc4869]

https://github.com/ant-design/ant-design/blob/master/LICENSE

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND,
EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF
MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND
NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE
LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION
OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION
WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

先不说 ant design 的对错，它本来就是无需承担任何责任的，所谓的社会责任感只不过是无中生有的幻觉。
而你的项目引入了 no warranty 的开源代码，不完整地 reivew 一遍就作为自己的产品发布给客户用，整个流程中最不负责任的是你自己。

[PP]

同意。并且担忧今后可能会更乱，乱风起，杂草生。

[n2ex2]

@hjc4869 有多少比例的开发者 review 过 linux kernel 的源码，linux distro 装的每个包是不是都要看一遍？

[expkzb]

前天我还在吐槽淘宝直播客户端 4.6 Mac 版本由于官网更新了 4.7 PC 版本导致无法使用的问题。

[n2ex2]

antd 不用承担法律责任不代表不用承受舆论谴责，这种主观故意的埋雷行为是不可接受的。

[radiolover]

1，一群“为生存发愁”的人去做“自我价值实现”的事情，想象就明白会做出什么四不像。
2，国内重视的其实不是技术领先，而是“技术领先的标志”：大家拼命去搞 GITHUB 的真实动机是什么，相信各位心里都清楚。
3，中国人多，出名的机会都需要争抢，“红眼病”在国内尤其严重：看你做的那么成功，谁不想找机会搞死你？所以撕逼谩骂也是国内开源界的一大特色。
其实 Antd 可以这样做。道理很简单：使用开源，后果自负； antd 是属于开发者的，开发者想加入什么需要你指责么？这就是无条件免费补贴造就的拿来主义巨婴，关键是巨婴红眼病还很严重。
总之，开源文化和传销一样，在中国走不通。因为经济条件和国情没有欧美开源文化的土壤。

[hjc4869]

@n2ex2 如果你把 linux 作为你产品的一部分 release 出去了，那因为 Linux 的故障产生的损失由你来承担。review 与否是你的自由。

[yanaraika]

@hjc4869 antd 并不是阿里的商业产品。没有任何一个地方给过 liability

[nohup]

@hjc4869 你说的对，我不应该要求 Antd 有社会责任感。但是我受害之后，要广而告之，这是一个让你项目破产，信任破产的开源库，使用它要考虑被炒鱿鱼的后果。

你说的“不完整 review 一遍”也是那些睿智喜欢说的话，现在被炒鱿鱼了被领导吊了，谁要求 Antd**赔钱负责**了？从我的角度来看，这是不可控的恶意代码，我们不要求 Antd 赔礼道歉，但有权利可以指责它，唱衰它的名声

[yanaraika]

@hjc4869 就和 Google/grpc 出了 bug 没法找 Google 麻烦一样

[n2ex2]

@hjc4869 如果 Linux 有 bug 导致损失，使用者概括承受。但如果 linux 被种下恶意后门，那还不许使用者批判几句？

[yanaraika]

唱衰是可以的，不过这也只是唯一能做的事。其实我一直很诧异居然没有国内开发者把这事翻译成英文发到 hacker news

[hjc4869]

@nohup
@n2ex2

我并没批判你们喷 antd，我也喷 antd，不过希望因此被炒鱿鱼的人能反思一下自己平时是不是应该多了解一下自己用的开源代码到底做了什么事情。你做一个产品连自己的产品的 behavior 都不明确，那出了事这个锅甩不掉的。

“谁有精力去 review 所有代码”是一个谬论，是什么时候开始人们可以把自己都不知道怎么工作的代码打包成产品卖出去还理直气壮了？

[lfzyx]

无障碍访问与 css 无关，只涉及 html 语义 （ https://developer.mozilla.org/zh-CN/docs/Learn/Accessibility/What_is_accessibility ）

[watzds]

我觉得这是小题大做
小事可以有挺大的影响，但是做小事的人没大错

[nohup]

@lfzyx 你还不知道那个窒息操作是怎么样的，是直接修改了 html 代码的 button 的 title，他除了弄雪花，还直接修改了 html 的 title

[nohup]

@hjc4869 每个代码都要 review 一下，中国互联网不会这么好的，你不可能拿中大公司 100-1000 人来要求一个小公司。每天活都做不完，哪还有时间一个个 review。就算我这个月花了一个星期去 review，他下一个版本给我插一个恶意代码，我还很难 review 出来，这难道还只能是开发者的错误？ Antd 不可能一点错也没有吧

[bookit]

专业，这个最基本要求都没有。

不能跳脱

[shintendo]

@lfzyx
title 是 css ？

[hjc4869]

@nohup 我觉得不用把每个文件都 review 一遍，但是项目里用到了的部分最好还是多看一下。antd 这个项目的组织结构非常扁平，你完全可以只看自己用的控件，和公共的部分。

https://github.com/ant-design/ant-design/blob/5f9b376456e9926c0edfef6c8604ec9f5d926dd5/components/button/button.tsx#L210

比如这次的“恶意”代码在 button.tsx 这个不足 300 行，简单易懂，结构清晰，没藏着掖着也没混淆的代码里面。如果平时做项目的时候稍微点进去看看也不难发现这种事情，毕竟 button 这个控件可能你已经用过几百次了，稍微进去瞄一眼也不是很过分。
毕竟这次这个地雷不像以前 npm 上有一些真正的恶意代码，都是包里有 github 上没有出现的内容。

另外关于升级，可以直接 diff 两个 tag 完成 review，同样也是只看自己用过的控件和公共部分，其实要不了多久。

[duan602728596]

然而自己写代码的时候考虑过无障碍设计吗？ http://www.zhihu.com/question/296706208，看看这下面的回答就知道了

[yikyo]

开玩笑呢，review 代码，把 antd 跑起来你知道有多少个 npm 包？？？？

[whileFalse]

嗯嗯，都是 antd 的错，建议 lz 从我做起，吧 antd 的所有依赖清理掉，用阿里系开源软件的公司一律不去。

[sagaxu]

免费发放的食物，你可以拒绝退换货，也可以不接受口味评价，但是可以故意往里面投毒吗？

看看 antd 干的事情
1. 有预谋的故意投毒了
2. 投毒之后未在任何地方说明
3. 事发前有人提出质疑，仍然拒绝修改

因为 dubbo 和 fastjson 的坑，我一直坚持一个观点，阿里的开源项目，碰都不要碰。此次事件之后，我更加坚信了。

[KuzhiBake]

要是这东西收费后再搞这么一出不知道楼上那几个还能怎么蹦跶。

[tyrealgray]

这次事故的结果只会让很多人远离这个库，不过我猜阿里照样会继续我行我素下去

[wxsm]

@hjc4869 客观的说，对于大部分广泛使用的开源工具，开发者没有那么多时间去逐个审查，更好的方式是选择信任他们，从 Changelog 里面找问题。更何况对于一个平时用得四平八稳的“按钮”组件，谁能想到里面会有这么个地雷存在呢？你要求每天加班到十二点的码农去审查这种代码，是不是有点脱离实情了呢？

[imn1]

非常同意 #1 所说的，建议 Linux 用户全盘所有软件以及 kernel 都 review 一次，或者更换为 macOS

[wu67]

作为一个小渣渣, 前阵子一个师兄问我考不考虑接手他们那一个项目, 用了 antd, 然后我去 github 看了一下发布日志, 果断放弃了, fixbug 的数量让我感到害怕, 当然一方面说明了有人用有人反馈有人修, 这是好事, 另一方面, 不就是说明了 bug 多得像天坑一样吗, 是怎么敢用在企业项目上面交付的

[kawkeye]

莫名出来个视力障碍，徒增个出师有名？

[Mithril]

所以说，没有能力掌握自己使用的开源库的话，还是选择收费服务吧。

[huijiewei]

说 review 的瓜皮，review 你妹啊，你咋不 review gcc 去呢

[guolaopi]

我记得以前只有 PHP 能引起这种大规模撕逼（滑稽）

[nohup]

@kawkeye 就是因为你这种人多，所以视力障碍者没有存在感也没有说话权。说有这事情你又不信，那要说什么才信呢？我替客户说你一句睿智

[tianyou666shen]

@nohub 这位大佬 是搞新媒体的吗 感觉很厉害的样子呢 ?
今天左手一个 react Vs Vue 明天右手一个 antd 该不该自己 review 都是爆文哦?

[kawkeye]

@nohup #34 我看到了存在感,所谓客户不知晓,倒是你表达的淋漓尽致,最后奉劝你一句,在网络上发泄自己的戾气,也是一种恶,一种自作自受.

[liunull]

"希望各位投入于企业级应用，下次在选型的时候留意一下 Antd，这是一个不负责任的、随意加跳蛋的开源库。"————跳蛋是什么鬼😂

[tabris17]

@liunull 输入法出卖了……也不对啊

[tywtyw2002]

@n2ex2 #3 你可以用 redhat 企业版，这个版本是有 warranty 的

[nohup]

@kawkeye 自己有戾气才会看到处都是戾气，建议检查一下自己

[n2ex2]

@tywtyw2002 不需要 warranty，只求不恶意埋雷。

[windfarer]

跳蛋梗 @liunull @tabris17 https://www.zhihu.com/question/306858501/answer/559391528

[GoodRainChen]

作为一个看戏的，我倒是觉得大快人心:
一方面，乱加代码彩蛋的人收到了惩罚
另一方面，能力不足或者喜欢偷懒瞎用开源库的人也吃到了苦果
两者在我看来都是业界毒瘤

[tabris17]

@GoodRainChen 惩罚？我就看到昨天 antd 的 star 从 36k 涨到 39k+。逃不过真香定律

[liprais]

@hjc4869 review 过 mysql 的代码么?

[nosky]

拿别人开源免费的东西做自已产品去赚钱，出问题不先审视自已？

[nosky]

@liprais mysql 是有商业版的，公司不付费买是会被告的

[nosky]

@tabris17 问题是 antd 有错吗？

[tabris17]

@nosky 我们对错误的认知标准不同，不用讨论了

[594duck]

@nohup 不要和 hjc4869 这样的小粉红吵架，直接屏蔽了就好。这地都洗的上，简直不一般

[RoyL]

自然无需负责任,但对一个开源社区来说,显然这种行为是不可接受的.

[maemual]

@nosky #47 你应该好好重新理解一下 MySQL 的商业版是做干什么的。。。你看哪个公司用免费 MySQL 会被告。。。

[zsj950618]

antd 有责任吗：没有
antd 可以这样瞎搞吗：可以
你可以选择不用 antd 吗：可以
以后还有没有人信任 antd：没有

[Pastsong]

@nosky antd 损害了开源社区之间的信任，没有人从这个事件中受益，无论是阿里还是开发者，你说 antd 错了吗？

[tabris17]

@zsj950618 没有法律责任，但是有道义责任

[no1xsyzy]

@hjc4869 社会责任不是由法律条文限定的，不然直接叫责任不叫社会责任。

[no1xsyzy]

@hjc4869
#13 > 是什么时候开始人们可以把自己都不知道怎么工作的代码打包成产品卖出去还理直气壮了？
从市场出现开始了——大约 3000 年前。

[FallMonkey]

那个。。。从 a11y 的角度而言，title 本身并不是个好选项吧？果然没人在意这个问题么。。。

https://dev.opera.com/articles/ux-accessibility-aria-label/#accessible-name-calculation

[china521]

你总不能请我吃饭，掺点屎让我吃，还说免费的还挑？？？？

[UIXX]

我讲点别的，前段时间 Marlin 固件的 Dev Scott 跟极客少女 Naomi 有一场论战。就是，GPL 这种协议能否在中国行得通？它需要程度更大的强制性还是需要根据中国国情修改适应？

先不说论战结果，这次的免责声明又让我想起了开源协议在中国的现状。

开源协议在国外应属于许可协议，归版权法。但是在中国归合同法，也就是说视具体的问题而定，如果违反了合同法，免责声明无效。（而且这种免责声明最好是中文的，否则达不到法律要求的可免责声明标准）合同法规定的条款很明确，但是（就这件事举例）事件涉及到的范围与性质太难界定，比如是否涉及非法解雇员工等等。（近几年有一些关于开源协议的判例，但都是从轻处理。）所以开源协议在现在的中国并不具有强制力，也不具有完备性。

那 antd 的免责声明是不是有效完全取决于它造成的影响是否已经与现行的法律冲突，鉴于太难取证，我倾向于有效。

至于这次的事件 antd 要不要负责，我觉得“失去部分用户的信任”就是此次事件的最大影响。

[sharkrice]

@hjc4869 #1 开源者不承担负责不代表不能被道德谴责

[Cu635]

我就问一个问题：在 antd 加入彩蛋代码的那个版本，changlog 有没有说明？

[xpfd]

免费的是最贵的，这个道理原来你不懂啊，别人开源的代码不经过 review 就敢拿来用，还怪人家掺屎，之前为什么不把屎挑出来？ 既然用着免费的代码，没给人家钱也就意味着人家可以在代码里面任意修改，让人家改代码你凭啥？

[guorui112]

可以理解成“自己找的小姐，含着泪也要**完”吗 /滑稽 /

[shintendo]

@Cu635
没有，提交者在 commit 里特意说了不要写进 changelog

[djs]

@xpfd 牛逼牛逼，这强盗逻辑也是没谁了，自己去了解下什么叫开源吧

[ooppstef]

从来没有人要求 antd 赔偿,因为大家都知道商业上讲 antd 没有任何错误.

也几乎很少有人指着开源的 bug,毕竟哪里有完美的程序呢?

但是不负责不代表不能被喷.毕竟这是 ali 背书,大家更多信任的是阿里.

至于 review,这个是一个合理的要求.但是对于这种"彩蛋"级别的来讲,本身就是容易被忽略的.开发者没有任何责任, 但是使用者喷一下我觉得也正常.

我觉得 antd 这个有名气的项目+ali 的背书,一定意义上具备一定的影响力.如果非要杠权利,开发者当然有权利修改任何代码.但是平心而论,开发者明知道自己被广泛使用,却硬要加入自己的"趣味代码",是否社会责任感缺乏一些呢?

幸好我不做前端...

[ooppstef]

@xpfd 有屎也可以.一方面你不说,另一方面,你是米其林餐厅(ali)的免费餐.我大概可能怀疑你餐不好吃(有 bug),但是我真的很难想到,这里面有屎... 虽然我应该想到. 正应为我应该想到,所以我没有权利让你赔偿什么的.但是因为我很难想到,所以我只能喷一下了.

[tachikomachann]

没人要求开源软件、产品不能有 bug。
但是这次明显是那个开发者主观故意引入的，而且态度傲慢。
真的是没有责任感，人品有问题。
不要拿什么免费用它的东西不应该被指责说事，不是一回事。

[abingor]

故意埋雷怎么就不承担责任了？开源协议大还是法律大？

说得出“早就做好了被骂的准备”这种话，而且在 update log 里故意略过不提这事，法庭里应该很好证明这举动是带有主观恶意的。

http://www.gov.cn/banshi/2005-07/11/content_13695.htm

第五十三条　合同中的下列免责条款无效：
（一）造成对方人身伤害的；
（二）因故意或者重大过失造成对方财产损失的。

经济上受损的受害者都不应该怂，直接发律师信过去。

[hoichallenger]

review 所有正在使用的开源库真的可行吗？我打开 node_modules 文件夹后陷入了沉思。

[chinvo]

使用开源的库虽然大部分时间使用者主动放弃了追责的权利，但是放弃追责的权利不代表放弃谴责的权利

建议那些“免费给你用你还 BB 啥”的人每天多吃六个核桃

[Jimrussell]

升米恩，斗米仇。

[miao1007]

带中文的开源，从来不碰，宁可自己写

[melvin]

幸好自己写 没用，要不然坑爹

[tetsai]

@GoodRainChen #43 瞎用开源库？... 那所以要怎么才能不算“瞎用开源库”并且预防这个彩蛋呢

[paw]

@n2ex2 #3 为啥不去 review linux kernel 代码 ？
rad hat 收费是干啥，就是帮你 review 维护稳定性帮你担这一部分责任的。然后 哪个大公司没自己的内核组去做内部支持？
开源无责，你要用，就要自己对代码负责，或者付费让他人帮你担责。

[bookit]

声称用开源就要 review 所有代码的，都 block 了。

逻辑不同，眼不见为净

[godbmw]

所以大公司内部都是自己开发，但是会参考主流的框架源码。毕竟可控安全是第一要素。

[hjc4869]

声称用开源不用 review 所有代码的，都 block 了。

逻辑不同，眼不见为净

顺带一提我们公司真的是这么要求的。

[n2ex2]

@paw 首先我没说他有责，然后如果你硬要纠结责任这件事，请看#70。

[will0404]

你们这些说要 review 开源代码的真的牛皮，我是跪着看你们回复的，npm 我随便装个热门模块我能 review 到下辈子。（此处配上 npm 是黑洞那个图，你们懂的

[loveour]

@hjc4869 #1 这个逻辑非常流氓，如果要必须看懂所有源码才能用开源库，那开源就没有任何意义了。没人要追究它的责任，事实上也追究不来，只是在谴责这个行为。退一万步说，就单单从程序上说，一个“彩蛋”，一个影响所有用户的彩蛋，是一个库应该做的事情吗？

[ShigureSuki]

开源的人无责，不代表使用者无权谴责。
话说这里八十多楼有受害者站出来要求开发者承担责任吗？要求 antd 负责的应该是很少的一部分人吧。看下来都是在说这个行为是“不正确”的。

[11wangyaoda]

那我是不是需要把 Android Framework 源码统统看一遍才能开始写 Android App 呢？

[947211232]

是的，这个比较烦心。
法律？拿国际的协议（请注意这不是合同）用某国的法律约束？
道德？这又关什么道德的事情？
为人准则（社会责任）？也就这个有点关系
——但真的影响较大，真的纯属是玩笑开大了，所以才比较烦心吧
——如果改变不了世界，那么就请先把自己改变得更好。。。

[jadec0der]

一堆 SB 拿 MIT 洗地，MIT 确实是 no warranty 的，但是也没人要起诉阿里赔偿损失啊。

大家只是想问问阿里，你这项目是一个稳定严肃的项目，还是爱用用不用滚的项目？

玉伯说这次确实是做错了，以后不会这样了。但是精神阿里人觉得委屈，建议用开源项目还要求稳定的人别用阿里的开源，阿里的开发者估计最想砍死这帮 SB。

[azh7138m]

每天都是圣诞节

https://baike.baidu.com/item/Everyday%20Is%20Christmas/22209835

Ho Ho Ho 这个梗有点硬了

[Nicoco]

吃瓜群众，喜问乐见。
看热闹不嫌事大！

[jadec0der]

楼里还有人自称公司要求 review 所有的开源代码，并以此要求别人（不想撕逼，不 at 了）

纯属站着说话不腰疼

我们公司比较大，不但所有开源代码都要 review 过才加入内部包管理，还有人维护自己的 linux 发行版，还有人维护自己的 JDK。但是那又怎么样，小公司不做这些有错吗？

什么体量的公司做什么样的事，中小公司为了生存连业务代码都凑合着写，还要他们 review 所有开源代码？老板请你来是干啥的，给开源做贡献么

[wenssh]

@jadec0der 这个帖子里的装逼犯太多，希望有一天他们自己用到的开源项目（ Nginx/Apache/OpenSSL...)出现这种傻逼彩蛋或者安全漏洞的时候这帮人再想想为什么用的开源项目不做 review

[009694]

说开源代码都 review 一遍的公司想必是没用 linux 没用 openssl openssh gcc 可能在用 ms 全家桶？

[Jzer0n]

如果所有开源代码都 review......

[JerryCha]

写 CHANGELOG
正常方式解决 ISSUE

这两点做到了应该也不会有人骂了

[irainsoft]

Antd 的彩蛋并不会让开源者有什么经济损失，但是名声的败坏是无法阻止的（顺带一提这根本不能称作为彩蛋）。开源社区需要有责任心的人来维护，这只能是从道德上去维护的事情，出现这样一个意外其实只能理解为一个充满信任的社区中出现了一个异类。

review 所有代码需要足够知识水平以及时间来完成，大公司为了自己业务的稳定自然愿意出这份成本来检查，而小公司如果看重的更加还是尽快完成的产品，也许写码的还有心去 review 开源代码，但你的产品经理会给你那时间去干这事情吗？最终还只是将这样的责任摆到了对开源社区的信赖上，这个事情只是让大家知道了 Antd 是不值得信赖的罢了，还是会有下一个轮子被造出来的。

不同位置的人想的事情总归是不一样的

[tortorse]

好奇问下楼主，你们前端被炒几次了？

https://www.v2ex.com/t/519999

[deepdark]

@abingor 可是没有合同啊

[exkernel]

没能力对自己负责的小作坊就该死啊 没毛病

[xiluo]

@009694 #93 回答正确