| 活跃度 | 提交与发布频率、维护者数量、最新版本时间 |
|---|---|
| 质量 | 测试覆盖、文档、依赖数量与安全公告记录 |
| 风险 | 许可证、供应链与单点维护者风险 |
评估维度速查
| 维度 | 观察项 | 红旗信号 |
|---|---|---|
| 活跃度 | 提交与发布频率、维护者数量、议题响应 | 长期无发布、仅单人维护 |
| 质量 | 测试覆盖、文档完整度、依赖数量 | 无测试、依赖树混乱 |
| 供应链 | 许可证、SBOM、安全公告处理速度 | 许可证不清、漏洞长期挂起 |
| 治理 | 组织化治理、公开路线图、发布节奏 | 无路线图、接口变更突然 |
- 核心依赖做替代演练：替换一个模块，验证接口隔离程度
- 固定版本与校验和，升级走评审与回归流程
多维护者与组织化治理的项目更稳；依赖单一维护者的核心库要准备分支维护或替换方案。