开源生态的安全问题本质上是激励问题：维护者没有报酬做深度审计，企业用户则习惯免费使用。