假设我是一个非常偏执的人。我担心自己的安全。从 、 或 进行安装时是否可能被感染GitHub。pip例如gem，PPA有人获得了贡献者的密码，并可能更改某些文件。正如已经发生的情况一样Linux Mint 2016 年 2 月 21 日。
当有人将代码“推送”到存储库时，他们如何检查代码？代码中巧妙隐藏后门的可能性有多大？在不使用虚拟机的情况下，我该怎么做才能确保从低评级存储库安装时是安全的？
答案1
是否有可能将恶意软件放置在开源资源中？
是的，与闭源软件一样。
当有人将代码“推送”到存储库时，他们如何检查代码？
这取决于您所谈论的存储库类型、“他们”是谁以及具体的项目。
代码里面巧妙地隐藏着后门的概率有多大？
鉴于世界上有大量的开源代码，这个数字非常低。然而，你担心的是，某些东西你下载并运行将会出现已知的安全问题，随后被使用，以及该漏洞的影响，这是一个不同且更广泛的问题。
而且，如果不使用虚拟机，我该怎么做才能确保从低评级的 repo 安装时是安全的？
在运行代码之前先阅读代码 - 这是开源软件的优势。否则，您就只能依靠模糊的“其他人”来为您完成这项工作，就像专有软件一样。