
<!DOCTYPE html>

<html>

  <head>

    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

  </head>

  <body>

    <p>Hello,</p>

    <blockquote type="cite"

      cite="mid:a041799b-6d47-40f1-8c5f-6b64ec4768e1@app.fastmail.com">

      <blockquote type="cite" id="qt" style="">

        <p dir="auto">The second concern is the supply chain risk from

          Cargo and crates.io. Using Rust means pulling in a large

          number of external dependencies, which introduces a

          significant attack surface that does not exist in a pure C

          project.</p>

      </blockquote>

      <div><br>

      </div>

      <div>This is absolutely true, and is the one and only thing that

        worries me about using Rust.  I'm not sure what the solution is

        here, if there is one.  Both smithay and gtk-rs pull in quite a

        lot of transitive dependencies, and there's not much that can be

        done about that.  I think software ecosystems as a whole are

        only just starting to figure out what to do about supply chain

        issues around centralized dependency managers, and there's still

        a lot of work to be done to increase security and confidence.</div>

    </blockquote>

    <p>I'm sure there is a way to pin versions (like a package.lock

      equivalent). Why not use AI to do a full review of all

      dependencies on every change and make this mandatory? I know, many

      OSS projects discourage the usage of AI for development (e.g. for

      licensing reasons). But using it for code review should be legally

      safe and brings the ability to do extensive reviews with limited

      capacities.</p>

    <p>Kind regards,</p>

    <p>Michael.</p>

    <p><br>

    </p>

  </body>

</html>