文章警告用户不要使用Omarchy 4.0，因其存在严重安全漏洞，如视频标题bash注入和通知可执行任意代码。作者批评该项目不重视安全，开发实践糟糕，无法通过修补漏洞达到合理安全水平。

标题：不安全的推销者

来源：https://blog.happyfellow.dev/merchants-of-insecurity/

发布时间：2026年8月26日

首先，重要提醒：如果你在意电脑安全，绝对不要使用Omarchy。

Omarchy 4.0版本存在一系列严重的安全问题，比如视频标题的bash注入漏洞，以及所有通知都能在用户电脑上运行任意bash脚本。这些问题并非偶然，而是源于项目对安全性的漠视。虽然所有项目都可能存在安全问题，但Omarchy的问题却异常可预测——他们明知如何处理不可信输入，却仍使用AI生成的bash脚本处理这些输入，且几乎未经审查。

简单来说，Omarchy并未真正重视安全。他们表面上扮演着重视安全的角色，但开发实践却暴露了真相：他们能轻易重现数十年前的安全漏洞，甚至发明新的问题。这比任何安全团队的公告都更能说明Omarchy的真实安全性。

DHH喜欢宣称自己正在实现“Linux桌面之年”，并强调Omarchy是用户应该使用的发行版。但在安全方面，他只会突出安全团队在版本更新中的努力。然而，如果操作系统本身就像瑞士奶酪一样漏洞百出，列出再多的已修复问题也只是表面功夫。我认为这种营销已沦为谎言和不诚实。诚实的做法是承认他们更关心迭代自己的配置文件，而非系统的基本安全。

DHH用虚假的积极态度和“干就完了”的姿态压制批评者。但现实是，Omarchy是一个不重视安全的项目，如果许多公司禁止使用它，我一点也不会惊讶。

我并非要阻止任何人使用Omarchy，而是不喜欢公众对风险的认知与实际风险脱节。团队似乎无意向用户准确解释风险，我也不愿看到人们被欺骗而伤害自己，因此写下这篇文章。

以下是对评论内容的总结，涵盖主要观点、论据及不同立场，并保留了关键引用：

主要观点与论据

1. 对Omarchy安全问题的批评与质疑 - 批评者认为Omarchy存在严重安全漏洞，如bash注入和通知执行任意代码，且团队早期处理不力。 - 引用：colesantiago: "I don't know, Omarchy's team really don't care if you're complaining." - 引用：raverbashing: "Using bash for all this stuff is like trying to wash your car with sandpaper instead of soap and water." - 支持者指出问题已被快速修复，且团队已设立专门安全团队，资金充足（1000万美元），安全将逐步改善。 - 引用：colesantiago: "I'm sure with the $10M cash chest the security will just improve over time." - 引用：dborovikov: "two examples in the article have been swiftly addressed, ignoring that there is a whole dedicated security team."

2. 对DHH个人及项目动机的争议 - 批评者质疑DHH的技术能力（以Rails闻名而非系统级工程），并认为其“Linux桌面年”言论不切实际，项目更多是营销炒作。 - 引用：jstimpfle: "hasn't he become famous for developing a web framework... rather than for his technical prowess as a systems-level engineer?" - 引用：1970-01-01: "Anybody that says this is either joking or has no clue how the real world works." - 支持者认为DHH有热情和资金推动Linux桌面体验，项目值得关注，且安全问题是可修复的。 - 引用：sbinnee: "Omarchy is no doubt a huge driving force... I am hopeful that dhh is serious enough to address the security issues." - 引用：vcryan: "Fixing these issues is not hard. Creating a useful product that people want -- this is the hard part."

3. 对Omarchy作为发行版的评价 - 负面评价：认为其本质是“Arch加配置文件”，存在臃肿、推广自家软件、命名糟糕等问题，且社区讨论水平低。 - 引用：Qbtaumai: "it was just dotfiles painted on top of arch iso... if that's a distro then my system with dotfiles are a distro in itself." - 引用：fidotron: "This tumblr level of discourse is precisely what the Linux community needs to leave behind." - 正面评价：安装简单、平铺窗口管理器体验好、工具高效，对Linux生态有积极推动作用。 - 引用：ricardobeat: "It works. The install is uncomplicated... The tiled window manager works pretty much how I already use Mac." - 引用：pelagicAustral: "I am happy that the Linux ecosystem is getting attention, traction and funding."

4. 对项目资金来源与营销的质疑 - 部分评论者困惑于Omarchy为何获得大量知名人士资助，认为其突然曝光是营销推动。 - 引用：Hugsbox: "what's with Omarchy getting this crazy amount of financial support from this list of fairly prominent individuals?" - 引用：okinternets: "Must be a massive marketing push or just hype."

平衡性总结

• 批评方：聚焦安全漏洞、DHH技术背景不足、项目本质为“营销包装的Arch”，并质疑其社区讨论质量。
• 支持方：强调问题已修复、资金充足、项目推动Linux桌面发展，且实际使用体验良好。
• 中立/观察方：认为项目有潜力但需时间完善，或指出批评本身存在偏见（如仅举一例即称“充满漏洞”）。