谈谈阿里log4j2事件：严重性是个主观判断

Posted 2022-01-21 柳鲲鹏

　　吾了解的是：阿里有人发现了log4j2漏洞（ＢＵＧ)，没有及时上报（上报了源码，没有上报国家机关？，具体不了解），被工信部处罚了。引起了业界关注。

　　在上个博文中，吾批评我司某些人选择了背景为黑色的产品图标。这够荒唐吧？那么这些人是故意选择了难看的吗？当然不是。他们的认识能力，主观上并没有恶意，反而是选择了他们认为最好的。

　　同样的，这个漏洞确实彼严重，可是我就认为不严重啊。那么我就错了？就因为你有权处罚我，就处罚我？不管当事人怎样，吾是不服的。

　　有人糊涂了。阿里没错，问题也确实严重，那谁错了？错在：一个大国，只想吃现成的（市场换技术），不坑你坑谁？

　　作为一个大国，正确做法是：

• 有自己的软件开发体系

　　小国可以吃现成的，那是可以的。大国不行。人家天天相渗透呢，你还放开了玩，那谁会客气。

• 并有自己严格而可选的审查评估机构

　　建立这个体系，并不容易。

• 各级主管要严格审核下属提交的报告

　　以吾工作来说，下属提交报告，主观基本是不看的。各种错误充斥其中。所以出错了，首先就要查主管。比如这次，首先就要查工信部相关主管。