开源项目往往由社区维护，安全投入有限，而在线平台又必须处理用户凭证，这构成了天然的风险点。