不要高看開源的監督，但是也不要小看開源的監督，這要看項目的關注度。

前2兩年的xz ***就是案例。

但這只是隱蔽的角落，沒有什么人關注，差點成功了（或者說本來就成功了，只是有一個閑的蛋疼的微軟工程師鉆牛角尖然后被發現了）。

但是rust這種級別的項目，幾乎一直在聚光燈下，一個字符的變動都會被一些閑得蛋疼的人（我不是我沒有）點開看看改了什么玩意兒，至少源代碼上難度和xz案例不是一個數量級的。

你是不是覺得怎么可…。