本月發(fā)生了一起沸沸揚(yáng)揚(yáng)的 “開(kāi)源斷供”事件—— [1]， 但其實(shí)還有另一件略隱蔽的 “卡脖子案例”，老馮在上個(gè)月提到過(guò) —— 《[2]》。

這次 “PostgreSQL 斷供” 某種程度上扮演了試金石的角色，倒是很好的試出了各家數(shù)據(jù)庫(kù)廠商和云廠商的成色 —— 全部躺平擺爛，老馮對(duì)此感到非常失望。停止將國(guó)內(nèi)的云廠商和大學(xué)鏡像站作為供應(yīng)鏈上游，自建了 PGDG YUM/APT 倉(cāng)庫(kù)的國(guó)內(nèi)最新同步鏡像。

PGDG的“斷供”

PostgreSQL 是數(shù)據(jù)庫(kù)領(lǐng)域的祖師爺級(jí)開(kāi)源項(xiàng)目，也是世界上最流行，最受喜愛(ài)，需求量最大的數(shù)據(jù)庫(kù)。 絕大多數(shù)的用戶(hù)都是通過(guò) PGDG APT / YUM 倉(cāng)庫(kù)，來(lái)在 Linux 上安裝 PostgreSQL 數(shù)據(jù)庫(kù)的。

不幸的是，PGDG （全稱(chēng)：PostgreSQL 全球開(kāi)發(fā)組）的 APT / YUM 軟件制成品倉(cāng)庫(kù)在今年五月中旬對(duì)外關(guān)閉了 ftp 與 rsync 同步通道， 這導(dǎo)致了幾乎全球的鏡像站點(diǎn)都與上游倉(cāng)庫(kù)失去同步，存放的都是幾個(gè)月前的舊版本軟件包。

老馮在 7月7號(hào)的 《[3]》一文中詳細(xì)介紹過(guò)這個(gè)問(wèn)題。 那時(shí)候老馮觀察到德國(guó)的 XTOM 其實(shí)嘗試手工按月手工更新的策略，其他基本上所有鏡像站全軍覆沒(méi)，都停留在三四五月的狀態(tài)。昨天我重新統(tǒng)計(jì)了一下，發(fā)現(xiàn)俄羅斯的 YANDEX 也手工跟進(jìn)了 APT 倉(cāng)庫(kù)，其他的鏡像站依然是老樣子。

鏡像站的“斷更”

比如，17.5 等5月更新版本修復(fù)了 CVE-2025-4207[4] GB18030 相關(guān)漏洞，而今天剛剛發(fā)布的 17.6 系列版本[5] 更是修復(fù)了 3 個(gè) CVE 和 55 個(gè) BUG。如果你是鏡像站的用戶(hù)，那么就沒(méi)法及時(shí)更新跟進(jìn)打補(bǔ)丁了。更別提下個(gè)月即將發(fā)布的 PostgreSQL 18 新大版本了?，F(xiàn)在還屬于問(wèn)題早期階段，也就落后兩個(gè) PG 小版本，但很快再過(guò)一個(gè)月就會(huì)落后一個(gè)大版本。然后各種積累的漏洞補(bǔ)丁，安全修復(fù)國(guó)內(nèi)用戶(hù)全都用不上，產(chǎn)生的暴露風(fēng)險(xiǎn)會(huì)越來(lái)越大

從這個(gè)角度上來(lái)說(shuō)，上游軟件供應(yīng)鏈停止對(duì)下游提供更新，本質(zhì)上確實(shí)符合 “斷供” 的定義。不過(guò) PGDG “斷供” 的理由也還算充分 —— 他們上 CDN 了嘛。

PGDG為何“斷供”

PostgreSQL 郵件列表里，5月20日有韓國(guó)鏡像站的維護(hù)者問(wèn)過(guò)這個(gè)問(wèn)題，之前用 rsync 同步 PGDG 官方倉(cāng)庫(kù)怎么突然斷了？

Davaid Page 給出的解釋是，ftp/rsync 從來(lái)就不是官方承諾提供的服務(wù)方式。PGDG YUM/APT 倉(cāng)庫(kù)也就兩臺(tái)物理機(jī)，每天卻有 10TB 的訪問(wèn)流量，很多都是“非法流量”，帶寬要受不了啦！所以他們就把這個(gè)倉(cāng)庫(kù)給托管到了 Fastly CDN 上。

他們的想法也很顯然 —— 我都用了 CDN 了，那專(zhuān)業(yè) CDN 的節(jié)點(diǎn)和體驗(yàn)，不比零星的鏡像站好多了？官方可以有能力繞過(guò)鏡像站直接對(duì)全世界用戶(hù)提供服務(wù)，那還要啥鏡像站？于是就把 FTP rsync 給關(guān)掉了，只能通過(guò) HTTP 訪問(wèn)?？瓷先ゴ_實(shí)也沒(méi)毛病，雖然斷了鏡像站同步，但也提供替代解決方案了 —— 直接用官方 CDN 就好了，也算是合情合理。

—— 你可以選擇不用任何鏡像站，直接使用 PGDG 官方倉(cāng)庫(kù)（他們剛搬到 Fastly CDN上）。

中國(guó)被卡脖子了？

鏡像同步中斷，對(duì)于世界上絕大多數(shù)地區(qū)的用戶(hù)來(lái)說(shuō)，其實(shí)影響還相對(duì)較小，因?yàn)樗麄兛偸强梢匀ビ?PGDG 新的 CDN 。但唯獨(dú)對(duì)中國(guó)來(lái)說(shuō)，這就等效于制成品斷供了 —— 因?yàn)楸娝苤脑?，中?guó)訪問(wèn)不了這些 CDN 節(jié)點(diǎn)！如果這些鏡像站不更新，中國(guó)用戶(hù)就沒(méi)的用了！

當(dāng)然，你要是自己翻墻用什么的還是可以用的。但是你顯然不能指望人人都會(huì)這個(gè)，而且即使翻了速度也還是很慢的。所以國(guó)內(nèi)的鏡像站對(duì)于國(guó)內(nèi)用戶(hù)使用 PostgreSQL 來(lái)說(shuō)依然是至關(guān)重要。（也別說(shuō) Docker ，DockerHub 也被墻了，而且絕大多數(shù) Docker Postgres 鏡像也是從 APT 倉(cāng)庫(kù)里安裝的…）

從這個(gè)角度來(lái)說(shuō)， 中國(guó)用戶(hù)這還真是被卡了一把脖子 —— 雖然本質(zhì)上屬于搬起石頭砸自己的腳 —— 人家只是把增量的同步給關(guān)掉了，然后你用不了人家提供的替代解決方案而已。但這個(gè)事情已經(jīng)是這個(gè)樣子，重要的是在這種背景下如何解決用戶(hù)的問(wèn)題。誰(shuí)來(lái)解決這個(gè)問(wèn)題呢？

中國(guó)用戶(hù)想要 YUM/APT 安裝 PostgreSQL 一般只能通過(guò)國(guó)內(nèi)的鏡像站來(lái)安裝，最知名的應(yīng)該是阿里云和清華大學(xué)的Tuna鏡像站，當(dāng)然還有浙大/中科大的源。不幸的是，這些鏡像站無(wú)一例外全都躺平了，并沒(méi)有體現(xiàn)出擔(dān)當(dāng)來(lái) —— 但你也沒(méi)法怪他們，畢竟免費(fèi)嘛。

供應(yīng)鏈風(fēng)險(xiǎn)

開(kāi)源專(zhuān)家 Tison在他的公眾號(hào)文章《》和 《》深入解釋過(guò)，開(kāi)源軟件（源代碼）本身是沒(méi)有所謂 “斷供” 風(fēng)險(xiǎn)的 —— 開(kāi)源協(xié)議授予的一系列基本權(quán)利是不可撤銷(xiāo)的，在這個(gè)維度下“開(kāi)源斷供”從未發(fā)生過(guò)。對(duì)斷供的擔(dān)憂(yōu)往往是對(duì)開(kāi)源軟件過(guò)度期待帶來(lái)的誤解。

但是用戶(hù)對(duì)開(kāi)源的依賴(lài)總是發(fā)生在具體的軟件供應(yīng)鏈上，保障開(kāi)源依賴(lài)的供應(yīng)鏈安全是有成本的 —— 開(kāi)源制成品，也就是二進(jìn)制軟件包（RPM/DEB/鏡像），以及開(kāi)源制成品的交付渠道 —— 軟件倉(cāng)庫(kù)（APT/YUM/Registry）是存在斷供風(fēng)險(xiǎn)的。

原因也很簡(jiǎn)單，這都是有成本的，誰(shuí)來(lái)支付這個(gè)成本是一個(gè)大問(wèn)題。開(kāi)源開(kāi)發(fā)者愿意支付大頭的研發(fā)成本，很多時(shí)候是因?yàn)檫@個(gè)事對(duì)他們來(lái)說(shuō)是一種有趣的娛樂(lè)。然而分發(fā)，打包，構(gòu)建倉(cāng)庫(kù)，提供持續(xù)穩(wěn)定的企業(yè)級(jí)服務(wù)與供給很大程度上是一種純負(fù)擔(dān)。比如國(guó)內(nèi)一個(gè)GB流量賣(mài)你8毛錢(qián)，那你 PGDG 一天10個(gè)TB流量，一天就是幾千塊錢(qián)，對(duì)吧。所以你看能搞開(kāi)源鏡像站的基本上要么就是高校要么就是大型互聯(lián)網(wǎng)廠商，第一自己也要用，第二加雙筷子沒(méi)啥流量成本。

反過(guò)來(lái)說(shuō)，這些使用開(kāi)源軟件的用戶(hù)像 PGDG 和開(kāi)源軟件鏡像站付費(fèi)了嗎？嘿，沒(méi)有，所以老實(shí)說(shuō)，無(wú)論是從法律上，道義上，還真沒(méi)法苛責(zé)什么，因?yàn)檫@就是開(kāi)源的 STYLE —— 沒(méi)有質(zhì)保 —— 畢竟人家也沒(méi)收錢(qián)，提供源代碼是本分，但開(kāi)源協(xié)議可沒(méi)有規(guī)定說(shuō)要提供開(kāi)源軟件二進(jìn)制制成品，開(kāi)發(fā)者和開(kāi)源軟件鏡像站沒(méi)有義務(wù)去做這種慈善。

如何解決供應(yīng)鏈風(fēng)險(xiǎn)？

那么商業(yè)服務(wù)可以解決這個(gè)問(wèn)題嗎？畢竟，這么多國(guó)產(chǎn)數(shù)據(jù)庫(kù)都是基于 PG 換皮，套殼，魔改弄出來(lái)的子孫后代，結(jié)果上游老祖宗被 Ban 了，確實(shí)有些滑稽，就沒(méi)有人出來(lái)搞個(gè)中國(guó)的鏡像站嗎？嘿，可能還真沒(méi)有 —— 大部份情況下，這些數(shù)據(jù)庫(kù)廠商都是直接白嫖鏡像站（阿里云，清華）倉(cāng)庫(kù)的，或者說(shuō)，交付方式甚至都不是軟件倉(cāng)庫(kù)，而是丟給你一個(gè) EL7 RPM 包，根本沒(méi)有能力維護(hù)軟件倉(cāng)庫(kù)。

老馮自己獨(dú)立維護(hù)了一個(gè) PostgreSQL 擴(kuò)展倉(cāng)庫(kù)，里面包含了 9 種風(fēng)味的 PG 內(nèi)核，以及兩百多款 PG 擴(kuò)展（加上 PGDG 的總共 423 個(gè)可用擴(kuò)展）。目前是 全世界 PG 生態(tài)收錄最多可用擴(kuò)展制品的倉(cāng)庫(kù)了。不謙虛的說(shuō)，說(shuō)起 PostgreSQL 打包構(gòu)建，我和 Devrim（YUM 倉(cāng)庫(kù)），Christoph（APT 倉(cāng)庫(kù)），álvaro（OCI 倉(cāng)庫(kù)），David Wheeler（PGXN） 是這個(gè)賽道的頂級(jí)玩家與原始供應(yīng)者。

但雖然我會(huì)打包構(gòu)建，維護(hù)倉(cāng)庫(kù)，但是，在安裝交付 PG 原生內(nèi)核的時(shí)候，我還是會(huì)選擇使用 “PG官方” 的 PGDG APT / YUM 倉(cāng)庫(kù)，PIGSTY 自己的倉(cāng)庫(kù)作為擴(kuò)展補(bǔ)充倉(cāng)庫(kù)， 因?yàn)?Devrim 和 Christoph 已經(jīng)干的足夠好了！我會(huì)去做和他們工作有差異互補(bǔ)的事情。

所以對(duì)于老馮的 PostgreSQL 發(fā)行版 Pigsty 來(lái)說(shuō)，PGDG 倉(cāng)庫(kù)是 PIGSTY 的供應(yīng)鏈上游，國(guó)內(nèi)區(qū)域因?yàn)橛袎Γ⒗镌歧R像站是老馮的間接上游?，F(xiàn)在的問(wèn)題是這個(gè)間接上游，包括阿里云，清華，浙大，各種云在內(nèi)的所有鏡像站，全都趴窩斷更沒(méi)得用了，怎么辦呢？

老馮在發(fā)現(xiàn)這個(gè)問(wèn)題的時(shí)候，第一時(shí)間就給阿里云和清華TUNA的郵件列表上報(bào)了這個(gè)問(wèn)題，也跟德哥聊過(guò)說(shuō)過(guò)。不幸的是，幾十天過(guò)去了，依然毫無(wú)波瀾，沒(méi)有絲毫動(dòng)靜。就是沒(méi)人有這個(gè)擔(dān)當(dāng)，能站出來(lái)解決這個(gè)問(wèn)題。老馮對(duì)國(guó)內(nèi)這些云廠商和數(shù)據(jù)庫(kù)廠商和高校鏡像站的維護(hù)團(tuán)隊(duì)真的非常失望。但你也沒(méi)法說(shuō)人家 —— 對(duì)吧，人家畢竟是免費(fèi)給你用的，你能說(shuō)什么呢？

我行我上

所以老馮也懶得再啰嗦，直接自己動(dòng)手就上了。其實(shí)動(dòng)手了我才知道，這才多大點(diǎn)屁事和工作量？ —— 人家不給你開(kāi)放 ftp rsync 同步，那你就用 apt-mirror 和 reposync 直接從 HTTP 通道去同步不就行了？老馮昨天用 Claude Code 花了兩個(gè)小時(shí)，寫(xiě)了個(gè)同步流程，把 PGDG 的 YUM / APT 倉(cāng)庫(kù)給拉了下來(lái)，丟到 Pigsty 的倉(cāng)庫(kù)里，然后測(cè)試了一遍，非常順滑。我干完之后的感想就是 —— 就這？這么屁大點(diǎn)兒活，就給國(guó)內(nèi)卡成這樣？草臺(tái)班子理論誠(chéng)不欺我。

當(dāng)然PG倉(cāng)庫(kù)總量大幾百個(gè) GB，如果全部弄下來(lái)就太大了，我就只要了 Linux x86 / aarch64 架構(gòu)的包，同步了 Debian 11/12/13 ，Ubuntu 22/24 ，EL 7/8/9/10 這幾個(gè)主要 Linux 操作系統(tǒng)發(fā)行版大版本下的 PG 13 - 17 的包，然后只保留最新的版本，這樣總大小就只有幾十個(gè)GB 了。拉了兩個(gè)小時(shí)，同步回來(lái)，丟到國(guó)內(nèi) CDN 上，然后目前在 pig 0.6.1 和 pigsty 3.6.1 中，我已經(jīng)把阿里云和清華源換掉了，昨天剛發(fā)布，徹底擺脫躺平擺爛的中間商依賴(lài)，實(shí)現(xiàn)真正的自主可控。

例子：使用 pig 添加倉(cāng)庫(kù)，或者直接添加 APT 倉(cāng)庫(kù)（YUM 同理）

目前這個(gè)倉(cāng)庫(kù)和 Pigsty 本身一樣，都是開(kāi)源免費(fèi)的。直接使用 Pigsty 肯定是自建 PostgreSQL 服務(wù)的更佳選擇，但你確實(shí)也完全可以直接使用這里的 APT / YUM 鏡像倉(cāng)庫(kù)。直接對(duì)公眾用戶(hù)開(kāi)放會(huì)有不少流量成本，不過(guò)老馮應(yīng)該還是兜得住的 —— 雖然開(kāi)源的本質(zhì)就是無(wú)質(zhì)保，但好在老馮向客戶(hù)們承諾長(zhǎng)期持續(xù)維護(hù)這個(gè)鏡像倉(cāng)庫(kù)，所以免費(fèi)用戶(hù)也可以搭搭便車(chē)。如果有人想要贊助（服務(wù)器，CDN，打錢(qián)），老馮也非常歡迎。

這讓老馮回想起一些往事，兩年前老馮想要把 PG 擴(kuò)展搞進(jìn)來(lái)，但是想要偷懶借力，我看到有個(gè)叫 Tembo 還有 pgxman 的公司嘗試在做 PG 擴(kuò)展包管理器，我就等啊等啊等了幾個(gè)月，等到最后發(fā)現(xiàn)他們純粹是光吹牛不干活，老馮就不等直接自己上了，做了 pig 包管理器，pg 擴(kuò)展目錄和擴(kuò)展倉(cāng)庫(kù)，現(xiàn)在成為了 PG 生態(tài)最大的擴(kuò)展倉(cāng)庫(kù)。就好比像 Omnigres 和 Autobase 這樣的開(kāi)源 PG 發(fā)行版/項(xiàng)目，也都使用 老馮維護(hù)的 Pigsty 擴(kuò)展倉(cāng)庫(kù)，向他們的客戶(hù)去交付。老馮的軟件倉(cāng)庫(kù)也開(kāi)始成為別人的供應(yīng)鏈的上游了，開(kāi)始參與國(guó)際軟件供應(yīng)鏈并積累信任。

“開(kāi)源” 確實(shí)并不要求你向用戶(hù)提供可靠穩(wěn)定的二進(jìn)制制成品，但真正重要的不是開(kāi)源，而是信任，開(kāi)源只是構(gòu)建信任一種形式，持續(xù)的投入，交付的承諾，專(zhuān)注的熱情，承擔(dān)責(zé)任的勇氣。想要成為值得信賴(lài)，受人尊敬的社區(qū)參與者，有許多東西比丟一份源代碼到倉(cāng)庫(kù)要重要的多。

References

[1] KubeSphere 刪除鏡像跑路: /cloud/kubesphere-rugpull
[2] 卡脖子：PGDG切斷鏡像站同步通道: /pg/pg-mirror-break
[3] 卡脖子：PGDG切斷鏡像站同步通道: /pg/pg-mirror-break
[4] CVE-2025-4207: https://www.postgresql.org/support/security/CVE-2025-4207/
[5] 17.6 系列版本: https://www.postgresql.org/about/news/postgresql-176-1610-1514-1419-1322-and-18-beta-3-released-3118/