一个愿意持续投入安全流程并有能力对外讲清楚的开源项目，在长期维护风险上通常更可控。