破事水： 为什么 linux 一键安装脚本如此流行，你们敢不看内容直接贴 root 权限执行么

[Siril]

类似于
#wget http://example.com/aaa/bbb/xxx.sh && sh xxx.sh


而不是这样：
$wget http://example.com/aaa/bbb/xxx.sh
$view xxx.sh
反复地看，越长越可疑。
总算放心地 sudo ./xxx.sh 了。

[FreeDog]

这叫信任。就像我们默认相信系统自带 CA 是真的（自己拉黑 WoSign 的就是因为丧失信任了）

[vv7ue]

so ， linux 也需要 360 这样的安全卫士

[Siril]

@FreeDog 看 17 楼， 提的问题是， 对一个 google 随便搜到的小博客（你又不认识博主）你能拿出这种信任么。 即使是原作者发布的，虽然原作者的人品应该是值得信任，但是，不带校验的 http 下载在特定的网络环境下不是也有风险么。

后门的影响范围可能包括 一个 vps 账号（ ddos 等滥用会被 ban ）以及自己上网流量的安全，还包括 ss 的机器同时搭着其他服务，如果有的话。

[Siril]

@vv7ue 有道理， 360 公司赶紧做一个，商机啊！ （滑稽脸）

[leavic]

如果这脚本是加密的，得看看，否则没必要，你干一次坏事这辈子名声就臭了。

[Vindroid]

谁叫我自己不会弄+懒得弄呢， github 上找个 star 最高的装了能用再说，其他的管他呢

[q397064399]

没必要看，有坑 反正不只我一个人掉进去，生产环境有的要自己负责的话，还是稍微看看，否则出问题了 要坐牢的，
金融公司的系统，如果随意引入开源二进制包也是存在风险的，

[aaronzjw]

你用支付鸨看他源码吗😊

[Siril]

@aaronzjw 我的 支付鸨装在备用手机 和 win7 虚拟机 里。。。
这种东西是（基本上）不得不用，
而且吧， 大公司作恶， 和脚本小子作恶， 风格不同哦。

[sh1t0nu]

@jccg90 都是这么想的

[FreeDog]

@Siril 我指的是官方 Wiki 中或者知名大公司官方提供的命令，小博客提供的默认也不怎么信任

[ragnaroks]

@Siril http://chinaossafe.360.cn/

[rockyou12]

懒，而且看不懂。但是用了 docker 后我再也没有这些忧愁烦恼

[muyege]

楼主这是饱汉子不知饿汉子饥,想当年哥为了学会装 Linux 还请学院老大哥吃过好几顿饭呢,有需求就有市场

[irainsoft]

既然用了一键包就不要再麻烦自己了，经常用的一键包心情好时可以去检查下

如果真的是重要的服务端那还是自己去编译安装吧

[loading]

没必要在公共脚本作恶，因为，别人也是有头有脸的。

[Kei]

那 brew install 和 apt-get install LZ 怎么检查= =……

[Siril]

@Kei 17 楼， 就是说官方源（和软件原作者） 的人品以及技术实力很多人已经检查过了， 这里讨论的是不知名博客上的一键安装脚本。

[doubleflower]

star 多就不管了，用各种开源库不也这样，谁也不会每个都去看一遍源码查有没有加后门。

[Kei]

@Siril 确实，都是随便 Google 个博客直接粘贴运行的……= =