老冯又接盘新开源项目了
内容提要
冯若航接手停更近十个月的PostgreSQL向量检索扩展VectorChord及配套的vchord_bm25、pg_tokenizer，在pgsty组织下另建新仓库，修复AI扫描出的二三十个隐患（含崩溃级缺陷），发布支持PG 14至18的首个正式版。他借此阐述开源自由不等于免费、软件供应链需持续维护，以及开源与商业化可借众测和分发渠道形成良性循环。
延伸解读
停更十个月的风险：AI 时代下的维护紧迫性
文章指出，VectorChord 停更近十个月，在 AI 可批量扫描代码漏洞的当下，缺乏维护的基础软件会迅速腐化。冯若航接手后用模型扫出二三十个隐患，包括崩溃级缺陷。这提醒读者：开源项目长期不更新不等于稳定，尤其当攻击者利用 AI 放大漏洞挖掘能力时，无人修复的代码可能成为系统暗雷。
开源自由与供应链成本：免费代码不等于免费交付
文章强调，开源代码可自由修改和接手，但稳定可靠的企业级软件制品供应链需要持续投入。冯若航以 MinIO 归档仓库、删除官方镜像导致 CI/CD 流水线崩溃为例，说明代码免费但分发、打包、漏洞修复等环节有真实成本。vchord 用户同样需要一条有人负责的供应链，而非锁死旧版本凑合。
接盘开源的四项条件：从 MinIO 到 vchord 的复用逻辑
冯若航总结接盘 MinIO 后跑通的关键：自身是重度用户、具备专业判断力、拥有现成分发渠道、能讲好叙事获取流量。这四项条件在 vchord 上同样成立——他日常使用 PG 扩展、有十多年 PG 经验、Pigsty 仓库可直接分发、博客和公众号能传播。文章借此说明，接盘开源并非谁都能做，缺了这些拼图容易变成自我感动。
开源与商业化的良性循环：众测与分发渠道的价值
文章认为开源并非只能靠爱发电。冯若航将 PG 扩展仓库免费开放，看似让同行搭便车，实则借助大量免费用户在不同环境中的使用形成众测，更早暴露问题，反哺包括企业版在内的整体交付质量。在 AI 时代写代码成本降低，测试与验证成为瓶颈，开源用户正是遍布全球的测试团，与商业化形成互利循环。
Q&A
冯若航这次接手了哪些开源项目？
他接手了 PostgreSQL 向量检索扩展 VectorChord（vchord）以及配套的 vchord_bm25 和 pg_tokenizer，并将它们放在 pgsty 组织下新建仓库维护。
为什么冯若航决定接手这些项目？
因为原团队 TensorChord 出现变动，项目已近十个月无人维护；在 AI 批量挖洞的当下，缺乏维护的基础软件会迅速腐化，出现大量安全漏洞。同时下游 Immich 社区愿意参与贡献，项目有真实用户和核心场景，所以他决定接手。
接手后他做了哪些具体工作？
他另建新仓库（pgsty/vchord 等），fork 文档并搭建新文档站 vchord.pgsty.com；用 AI 模型扫描出二三十个隐患（含崩溃级缺陷），逐一复现、修补和验证；为 PG 14 至 18 打好软件包，并发布接手后的首个正式版本。
开源软件免费，为什么还需要持续维护供应链？
源代码免费不代表交付供应链免费。一旦上游停止维护（如 MinIO 归档仓库、删除镜像），依赖其 RPM/DEB 包或容器镜像的生产体系就会断裂，且新漏洞无法修复。因此需要有人持续负责供应链，确保软件安全可靠地交付。
开源和商业化可以怎样形成良性循环？
开源可以通过众测和分发渠道形成良性循环：免费用户帮助在各种环境中测试，暴露问题，提升整体交付质量；同时免费部分为付费企业服务磨刀，例如 Cloudflare 用免费托管收集威胁情报来增强付费防御。
为什么不是谁都能接手开源项目？需要具备哪些条件？
成功接盘需要四样东西：利益相关（自己是重度用户）、专业判断力（在 AI 时代提需求、做取舍和验收）、现成的分发渠道（如 Pigsty 发行版）、流量与叙事能力（讲好故事吸引用户）。缺一不可，否则容易白折腾。
