Omarchy 安全漏洞频出，DHH 营销成谎言？
Omarchy is full of security holes
我郑重提醒：如果你在乎机器安全，千万别用 Omarchy。Omarchy 4.0 上线时带着令人遗憾的安全漏洞，比如视频标题 bash 注入和通知可执行任意 bash 脚本。虽然所有项目都有安全问题，但 Omarchy 的问题却如此可预测。团队似乎更热衷于迭代 dotfiles，而非系统基础安全。DHH 擅长营销，声称要推动 Linux 在桌面端的普及，却用虚假的积极态度掩盖安全短板。这种对风险的轻描淡写让用户在不知情的情况下暴露于危险之中。我不希望人们被误导而伤害自己，因此写下此文。
你不能指望从一堆混乱的 bash 脚本开始，然后希望别人在漏洞被利用前发现并修复它们，就能构建出一个相对安全的系统。
HN 评论区
435- Hugsbox
我对情况不太了解，文章里也没怎么提，但 Omarchy 怎么突然从这一堆挺有名的人那里拿到了这么多资金？几周前我还没听说过它，后来听到的消息是它是由一位非常……呃，古怪（？）的人开发的，现在却突然资金充裕。我是不是漏掉了什么？
- ricardobeat
链接中的两个问题是针对同一个 Bug 报告的。
有个朋友劝我安装 Omarchy 已经好几个月了。在经历了备受赞誉的 CachyOS 带来的糟糕体验后，我终于妥协了。
我只能说，我理解这股 hype。它确实好用。安装过程毫不复杂，不用在五个遗留的引导加载程序里选版本，也不用选窗口管理器。平铺式窗口管理器的操作方式跟我用 Mac 时几乎一样。我喜欢那些以终端为中心的系统工具。安装软件既简单又闪电般迅速。
- fidotron
这种 Tumblr 级别的讨论，正是 Linux 社区应该摒弃的东西。
- dborovikov
“满是安全漏洞”——而文章里举的两个例子已经迅速得到了修复，却无视了其实有一个专门的安全团队 https://omarchy.org/teams/
这算哪门子博客文章？
- thehappyfellow
嘿，为什么我的博客标题被加了 editorial（编辑加工）？本来应该叫“不安全贩子”（Merchants of Insecurity）才对。太没礼貌了！
- fnoef
有个关于正态分布的梗：左边是新手试图做件显而易见的事，右边是“专家”试图做同样的显而易见的事，而中间则是有人试图搞些酷炫/新奇/时髦的东西。
左边是 Ubuntu/Fedora。右边是 Arch。中间就是这些科技网红 wannabes 定制的、AI 增强的发行版。
- okinternets
过去一周左右，我看到了太多关于 Omarchy 的播客和 YouTube 视频。这肯定是一次大规模的营销推广，或者纯粹就是 hype。
- markstos
看来 Omarchy 的插件生态系统也像 Arch AUR 一样是个自由放任的地方，只不过受众里还包括很多 Linux 新手，他们不太可能理解其中的风险。
- vova_hn2
好吧，但这个功能（通过热键将浏览器中打开的视频传递给 yt-dlp）存在且开箱即用，难道不酷吗？
很遗憾，它是用一种奇怪且不安全的方式开发的，但我认为它存在这件事本身非常酷。
我很久以前就听说过 Omarchy，但一直没换，因为在我人生的某个阶段，我开始更喜欢那种坚如磐石且支持良好的东西（目前用的是 Fedora Atomic 配 KDE），而不是新/闪亮/前沿的东西。不过话说回来。我认为开箱即用的良好 UX 正是由这样的小细节组成的。
- UK-Al05
如果用 Arch 并自己安装软件包，大部分安全漏洞不还是存在吗？很多人抱怨 Omarchy 里的 ssh 有安全问题，因为它使用了默认设置。那在 Arch 上不也是一样的吗？