orange @[email protected]

誰がそのコストを負担すべきかというのはまた別の議論になるだろうけど、まあ orange 氏は PL 法まわりとかの話題で開発者が負担するべきと言いそうだなとは思った

機能向上と修正が別々であるべきかは単に開発コストとユーザの期待の問題であって、だから「別々であってほしいと期待しているのに (開発側の都合で) そうでないのなら、ユーザ側がそのコストを負担すればよいし、それがスケールしないと思うのならそれを得意とするチームが担当すべき」という考えです (現実に Debian とかは程度の問題はあれどそうなっているのでは)

そもそも Windows で「更新があります」を「なんかわからないから無視してました」とやって脆弱性をオンラインに晒し続けたユーザが無数にいたんじゃないんですか。
そういう人々を目にして「メッセージを読ませて『OK』を押させるべきだ」とは思えないというか、それをやって失敗したのが往年の Windows なので……
orange 氏の提示する理想は、理想ではあるけど既に破れた夢に見えます

自分がメッセージを読解できる程度に賢いと思う人は、自信をもって手動アップデートをすればよい。
ただ、私はそうでない人々を無数に相手にしなければならないようなユーザ数の多いプロダクトでは、メッセージを読解できないユーザを “どうにかする” 現実的な対策が必要だと思いますね

もっと言えば「ちゃんと理解したいが『OK』を押すのに必要なメッセージを読解できず、かといって『OK』を押さなかったら脆弱性が残ったままになるかもしれない」という境遇にいるユーザに対して「自動アップデートをやめましょう！」は救いになるのか。

私はならないと思います

別の表現をするけど、「毎回『OK』を押す」ことに価値はあるかもしれないけど、それは「毎回『OK』を押すのが嫌なのでメッセージを読まずに『OK』する人」への救済にはならないし、現実に『OK』を押さない選択肢を用意しないことは賢いといえるのか、という視点もある

まあ妥協っちゃ妥協だけど、現実に妥協しない生き方が不可能なんだから妥協の程度を個々人で調整するしかない。
「信用できないものを信用しない」というのはすべてを自力で検証できるユーザ以外には不可能な生き方だし、まずお手元のプロプライエタリなハードウェアを全て破棄してからもう一度おっしゃってくださいという。

ちょっと文脈を戻した話をすると、たとえば配信プラットフォームのメンテナが信用できるかできないかというのは、アプデ対象のシステムを管理している人間が運用を続けているその瞬間瞬間に決断がなされていると考えるべきよね。
たとえば私が Ubuntu のサーバを自動アプデしているとして、これは「私が Ubuntu チームを信用しないと決めたり疑いを持ったとき自動アプデを無効化する措置をとるし、それまでは “一時的に信用しつづける”」という決断の結果といえる

まあライセンスで or later するのはちょっと…… というのは個人的にはよくわかるけどね

誰を、いつからいつまで、どの文脈で、何故、どのように信用するのか、そこにベストプラクティスは (信念の近さ次第で) いくらかあるだろうけど、特定のひとつの正解があると考えるのは特定の信念を前提とする特殊化された文脈にすぎない

2-clause BSD licenseがGPLv4になる素敵な未来＞＜(超皮肉)

英語圏の人の珍妙な意見を見てしまったけど直接ツッコミ入れられる英語力が無いのでリプじゃない形で日本語で書くけど、

「『GPLv2 or Later』のようなライセンス形態であるとFSFを信頼しなければならず、こういう事態になった時に危険なので、FSFに依存しない新たなコピーレフトを」って、
誰にであれ、誰かにライセンスの内容を変更する権限を与える形態のライセンスであれば全く同じ問題が起きるでしょ？＞＜

危険だって理解してるなら"or Later"つけるなよ＞＜