"开源省钱"是个 30 万变 100 万的幻觉
最近看到 3 个开源项目的事，让我重新理解了一句话：“开源不是免费，只是费用延后支付。”
案例 1：pgBackRest 停更。PostgreSQL 社区广泛使用的备份工具，核心维护者宣布停止维护并将项目归档。理由：长期资金支持中断、商业赞助消失、始终未能找到可以继续投入该项目的工作机会。“和所有人一样，我也需要谋生。”
案例 2：cURL 关闭漏洞悬赏。cURL——支撑着几乎所有互联网服务的命令行工具——连续 6 年支付 8.6 万美元后，维护者 Daniel Stenberg 发现：到 2025 年，20% 的提交是 AI 生成的，整体有效率降到 5%。每 100 个 bug 报告里只有 5 个是真的。他终止了漏洞悬赏计划。
案例 3：MinIO 停更 / 转向 9.6 万美元年费。2026 年 2 月 12 日，对象存储开源项目 MinIO 的维护者发出一条提交信息："THIS REPOSITORY IS NO LONGER MAINTAINED.（此仓库不再维护）"——同时把用户导向其商业产品 AIStor，年费高达 9.6 万美元。
3 个案例，3 种"开源死亡"方式——资金断、AI 噪音、商业套路。
但它们指向同一个结论：你的系统安全边界，取决于一个无偿维护者的热情。
三笔账：你以为"开源 = 0 成本"——其实你在裸奔
| 你以为的账 | 实际的账 |
|---|---|
| “我们用 MinIO 存数据，省了买商业对象存储的钱” | 某天 MinIO 停更，你得付 9.6 万美元/年或者紧急迁移 |
| “我们用 cURL 做数据传输” | cURL 没人维护了，你的数据传输协议就成了攻击面 |
| “我们用 pgBackRest 备份数据库” | 备份工具停止维护，你的备份方案就是赌运气 |
3 笔账算完了，“开源省钱"是个幻觉。
你省下的钱——是你转移出去的风险。你没付费给维护者，付费的是你自己的运维/安全/迁移成本。
反共识：开源不是"免费”——是"延后付费"
多数公司用开源项目的逻辑是：
- 看到 GitHub 上 star 多 → 信任
- 看到是 Apache/MIT License → 觉得没风险
- 集成到生产环境 → “省钱了”
- 维护者停更 → 紧急迁移 / 付双倍代价
真正的"成本"在第 4 步才显形——而这时候你已经"上船"了。
我朋友管的一家电商公司，2025 年用 MinIO 替代了 AWS S3。省了每年 30 万的存储费。2026 年 2 月，MinIO 停更——他公司面临两个选择：
- 付 9.6 万美元/年买 AIStor（每年新增 70 万人民币）
- 紧急迁移到 S3（迁移成本 + 重新做架构，预算 50 万+6 个月时间）
“省钱 30 万"变成"多花 70-100 万”——这就是"延后付费"。
4 个真实死法
我看下来，开源项目的"死亡"有 4 种典型剧本：
死法 1：资金断 + 维护者转行
pgBackRest 案例。核心维护者找不到工作、商业赞助消失、13 年心血一朝归档。你的备份方案没有"维护者职业保障"。
死法 2：AI 噪音 + 维护者 burnout
cURL 案例。每 100 个 bug 报告里 95 个是 AI 生成的噪音——一个人工志愿者要从 100 份报告里筛出 5 个真的。维护者累了，关闭悬赏。
死法 3：商业套路 + 停更逼付费
MinIO 案例。先开源养用户、积累生态——然后停更，把用户导向自家商业产品。开源不是结束，是商业套路的开始。
死法 4：商业软件公司收购 + 转向闭源
很多公司开源了产品、积累用户——被大公司收购后转为闭源。你的依赖项不再免费，但你已经"上船"了。
4 种死法你都没法预测——但4 种死法你都可以提前准备。
自查三问（你的公司用哪些开源）
3 个问题能立刻查证你的"开源风险"：
第一，“我们公司生产环境用了多少开源”？
不知道？这本身就是一个红旗。
你至少应该有一份"开源依赖清单"——所有生产环境用的开源项目，标"关键/重要/普通"三档。没有这张表，你不知道你的命脉在哪。
第二，“关键项目，背后是谁在维护”？
“关键"项目 = 业务停摆就完蛋的项目。
对于每个关键项目，你需要知道背后是一个人还是一个组织。一个人 = 高风险（人走了项目就停）。一个组织 = 中风险（但也要看组织稳不稳定）。公司全职 = 低风险（但要付钱）。
第三，“如果这个项目明天停更，迁移成本多少”？
不知道？这又是一个红旗。
你需要至少在脑里有一个"如果停更我去哪"的备选方案——不需要精细到细节，但要有个方向。
承认局限
我自己不是工程经理——我管的是业务团队，不是技术团队。但我团队的产品依赖很多开源项目（数据分析、文档协作、内容生成）。
我也没躲过"开源依赖"的风险。我们用的某个开源工具，去年维护者换人 + 速度放缓——我团队 1 个月的工作是在"找替代方案”。
这件事让我学会了一件事：开源不是"用了就行"，是"用了就要养"。
落地动作
- 开源依赖清单：把所有生产环境用的开源项目列出来（哪怕 5-10 个），标"关键/重要/普通"。1 周内做完。
- “背后是谁"审计：每个"关键"项目，查清楚背后是一个人、一个组织、还是公司。1-2 周做完。
- “如果停更"备选：每个"关键"项目，至少想一个备选方案（不一定落地，但要心里有数）。长期持续。
- 公司有没有"为开源付费"的文化？—— 这是最难改的。但你至少可以提建议：每年 X% 的"开源预算"用来给关键项目做商业赞助 / 找替代。
收在"承认局限”——不是"骂开源”
我写这篇文章不是为了说"开源不能用"——开源是现代软件的基石。但开源不是"免费"——是"延后付费"。
多数公司没意识到这一点，所以他们用开源时是在裸奔。
你作为中层，不一定要做"开源预算"决策——但你至少要认清"我们公司依赖的开源项目背后是人，不是公司"。
认清楚了，你才能在老板说"开源省钱"时，问一句"省的钱最后会怎么回来"。