「国内企业必须认识到开源的价值，重视开源。」堵俊平谈道。
所谓「开源的价值」，包含两个层面的意思：一是开源软件对企业发展的助益，二是企业对形成良好开源生态的反哺。
前者的例证不胜枚举，国内大多互联网公司的蓬勃发展离不开「LAMP」（Linux、Apache、MySQL、PHP）的支持，也有越来越多企业拥抱开源。然而，国内开源发展至今，仍没有形成较好的商业闭环，大多企业对开源的态度是「能蹭则蹭」，为开源付费以及贡献的意愿普遍较低。
对此现象，最直接的佐证是：相比欧美，目前中国仍没有一家类似Databricks、Redhat这样估值高达几百亿美元的开源创业公司。Databricks成立于年，是一家顶级高校走出来的创业公司，目前已创建了一系列蓬勃发展的开源项目，比如ApacheSpark以及DeltaLake等。
堵俊平是开源领域的资深人士，目前在华为担任云与计算开源业务总经理，同时担任开放原子开源基金会技术监督委员会主席、LFAIData基金会主席，早年间曾是国内第一位在Hadoop项目中入选Committer的开发者。
结合在开源领域的多年耕耘与观察，堵俊平与AI科技评论探讨了他对国内企业参与开源发展的现状。他指出，目前很多企业仍是奉行「拿来主义」与「免费主义」，对开源软件采取「只使用不维护」的态度，这既没有发挥好开源的价值，也没有做好开源。最终，企业要背负越来越多的「技术债」。
要打破这种局面，企业必须学会「买票进场」，对开源进行合规管理。
1、国内企业普遍缺乏「为开源贡献」的意识
如今，开源已经渗入各行各业，成为企业技术创业的源动力之一。
除了TensorFlow与PyTorch等人工智能框架开源，全球企业在其他软硬件设施上的开源也发展地如火如荼：针对云计算管理的OpenStack、面向大数据的Hadoop与Spark、云原生Kubernetes……
近年来，我国企业也积极参与开源，在开源项目与开源社区上做了许多工作，比如华为昇思与欧拉、百度飞浆、旷视天元……不久前（12月22日），由腾讯、浪潮、OPPO等20余家厂商成立的操作系统开源社区OpenCloudOS又成立。这些都昭示着，中国企业的角色逐渐从开源的受益者向开源的贡献者、甚至推动者转变。
随着近几年国内的头部IT企业的管理者对开源越发重视，但据堵俊平观察，国内开源仍然面临着「叫好不叫座」的尴尬处境：一方面，同质化项目不断增加，造成特定场景用户的分流，比较难形成资源的积聚效应；另一方面，成功的商业开源项目凤毛麟角，国内在探索出有效的开源商业模式之路上仍有较长的路要走。
InfoQ曾总结国内企业对开源存在的两大误解：
免费：开源软件都是免费的，企业无需为开源软件付费，导致商业发行版市场空间降低。
合规：开源软件可以随意使用和fork，导致企业技术债和安全漏洞频发、挤压商业发行版市场空间。
在IT产品逐渐云服务化的过程中，要想紧跟业务的需求，就必须将基础设施进行快速迭代，以适应业务的市场竞争。开源便是其中的一个重要推手。
向外输出IT服务的大公司，如华为、腾讯、阿里等，必然要参与开源，因为当开源成为大势所趋，如果对开源缺乏了解，那么很难向客户销售服务。而对于不向外销售IT类产品的公司，即使只做上层应用，下层仍需要使用大量软件。
从表面看，开源是免费的，但随着IT系统的技术越来越复杂，使用软件的隐性成本也在逐渐增加，对开源的后期维护便是其中之一。
「我们做软件的都知道，不存在没有bug的软件，开源软件亦然。无论是安全性还是功能性的漏洞，都是无法避免的。」堵俊平说道。
据美国网络安全公司Snyk发布的《年开源安全现状调查报告》显示，78％的漏洞存在于间接依赖关系中；37％的开源开发者在持续集成(CI)期间没有实施任何类型的安全测试，54％的开发者没有对Docker镜像进行任何安全测试；两年内应用程序的漏洞数量增长了88％。
链接：