建议 Deepin 设立软件包全生命周期管理平台

一、背景与目标

Deepin 已从 Debian 独立，成为根社区发行版。随着软件包规模扩大和社区参与度提升，现有软件包信息分散、维护状态不透明、缺少统一查询入口的问题日益明显。用户与开发者难以便捷地查询软件包的依赖关系、维护责任人、仓库当前版本、上游稳定版本、安全漏洞情况等关键信息，也增加了社区协作维护的门槛。

参考 Debian、Arch Linux 等成熟社区的做法，建议 Deepin 建立统一的软件包全生命周期管理平台，实现软件包从收录、构建、发布、维护、安全跟踪到退役的全流程透明化管理，提升软件包质量、安全响应速度与社区协作效率。

二、平台覆盖范围

平台应覆盖 Deepin 官方仓库包、社区/SIG 仓库包以及应用商店上架包。对于统信商业闭源软件及签署特殊商业合作协议的软件包，可设置必要的权限控制和信息脱敏机制。

三、核心功能建议

1. 软件包查询与检索

支持按软件包名称、描述、摘要、关键词、分类、发行版版本、架构、打包维护人员、所属 SIG 组、最近更新时间等条件进行搜索。同时建议支持模糊搜索、正则表达式、标签过滤，以及依赖关系、被依赖关系的反向查询。提供开放 API、批量查询能力，并支持 RSS/邮件/Webhook 等方式订阅软件包变更通知。

2. 软件包详情页面

软件包详情页应集中展示以下信息：

（1）基础信息
软件包名称、软件包描述、软件包版本、许可证、所属仓库、覆盖发行版版本、支持架构、上游地址、上游最新版本（逐步完善自动检测逻辑）、打包维护人员或维护团队。

（2）安全信息
关联的 CVE、CNVD、CNNVD、统信安全响应中心及上游安全公告信息，展示漏洞影响状态、修复版本和修复进展。

（3）软件维护方类型
明确软件包的维护责任方，例如：深度一方软件、由上游社区开发并由 Deepin 自行维护、由对应 SIG 组维护、由互认证合作方维护、由开发方投递上架、由社区打包人员投递上架、无人维护或孤儿包等。

（4）软件维护状态
展示当前维护活跃度与生命周期状态，例如：维护中、观察期、即将取代、已被取代、低活跃度、停止维护、上游停止维护但由社区代维护等。

（5）依赖关系
展示完整依赖树与被依赖情况，自动检测缺失依赖、版本冲突、循环依赖等问题，并对存在问题的软件包进行标记和告警，减少仓库中因缺少依赖而无法正常安装或运行的情况。

（6）打包文件清单
展示安装文件路径、配置文件、systemd 服务单元、桌面入口、图标等打包内容，支持查看关键文件内容和校验信息，便于用户和审核人员了解软件包实际安装行为。

（7）软件包下载与源码包下载
提供二进制包、源码包下载入口，支持选择不同发行版版本和架构；同时可提供历史版本、构建日志、SBOM（软件物料清单）、签名校验信息等，保证下载可追溯、可验证。

（8）打包缺陷反馈
提供统一的缺陷反馈入口，反馈内容自动关联对应维护者、SIG 组或打包人员，并公开展示处理进度，形成闭环。

（9）构建与质量信息​展示构建状态、自动化测试结果、可复现构建情况、许可证合规状态、包大小、安装体积等信息，帮助维护者和用户判断软件包质量。

3. 打包构建文件托管与协作维护

对除统信商业闭源软件及商业合作签订兼容协议之外的软件包，开放打包构建文件托管，包括 debian/ 目录、构建配置、补丁文件等，并纳入版本管理。

认证的软件开发者自行投递软件时，可自行选择是否公开打包构建文件。对于公开的打包文件，社区成员可查看、复制并提交改进建议。

对于长期无人维护、低活跃度或已停止维护的软件包，应建立规范的接管流程，允许有能力的维护者申请接管或共同维护。平台应记录维护者变更历史，确保维护责任清晰、可持续，实现软件包的“薪火相传”。

四、实施与治理建议

1. 分阶段推进​先覆盖 Deepin 官方仓库包，实现基础信息展示、检索与依赖检查；再逐步纳入应用商店包，完善权限控制与商业软件信息脱敏。
2. 与现有基础设施集成​可结合 OBS、Git 仓库、CI/CD、漏洞扫描、Repology 等现有工具与数据源，减少重复建设，快速形成可用平台。
3. 建立维护者治理机制​明确官方维护团队、SIG 组、社区个人维护者及企业合作方的权限与职责，建立维护者准入、认领、退出和审计机制，保障平台长期健康运行。
4. 开放 API 与自动化能力
   提供开放 API 和 Webhook，方便外部工具、镜像站点、用户脚本调用和扩展；逐步完善上游版本检测、安全漏洞同步、依赖完整性检查等自动化能力。

五、预期效果

通过该平台，Deepin 可显著提升软件包维护的透明度和可信度，使用户能够快速判断软件包状态与风险；降低新贡献者参与打包与维护的门槛，形成“可查询—可反馈—可接管”的良性循环；提高安全漏洞响应速度与软件包整体质量，减少因信息不对称导致的依赖缺失、版本陈旧等问题；增强 Deepin 作为根社区的独立治理能力与社区活力。