исходники: иметь или не иметь?

[d4s]

С некоторыми сотоварищами развернулась интересная дискуссия. Как известно для того, чтобы собрать и задеплоить свой продукт на жабе требуется N-ное количество сторонних пакетиков в виде JAR-файлов.
Так вот, я доказываю, что для коммерческого продукта необходимо иметь полный и замкнутый цикл разработки, который включает в себя полное дерево исходников и пересборку 3rd-party jar-файлов, любое обращение к сети во время сборки должно быть запрещено.
Противоположная точка зрения -- все выкачивается из интернета в виде бинарных jar-файликов (в идеале при каждой сборке, как вариант -- кашируется 1 раз для локального использования).

Как по вашему -- кто прав и почему? ;-)

Comments

[shaman237.livejournal.com]

На мой взгляд, имеют право на жизнь оба варианта и ничего плохого в использовании уже собранных jar'ок я не вижу

[d4s.livejournal.com]

коммерческий продукт. по которому ты оказываешь поддержку. внезапно собранная кем-то jar-ка не собираются в идентичный вид из сырцов. клиент рвет и мечет -- у него фэйлится твой продукт, а не мифическая сторонняя библиотека ;-) ну и всякие параноидальные теории не стоит исключать ;-)

[wildman.livejournal.com]

всё выкачивается в виде *.jar и поставляется вместе со своим продуктом. работоспособность продукта гарантируется на срезе всего набора 3rd-party.

[d4s.livejournal.com]

угу. действия в случае глюков в 3rd-party jar?
исходники были на паре серверов и в бэкапе, но злобный хакер украл ключ и все удалил / жаба заставила закрыть исходники. Исходники можно скачать из каких-нибудь рапидшар (если повезет) -- Вася Пупкин делал копии и выкладывал, но... те ли это исходники? ;-)

[wildman.livejournal.com]

ты собираешься саппортить не свой софт?
ради бога. играйся сырцами
обычно в договорах прописана ответственность за подобные форсмажоры

соответственно:
>> действия в случае глюков в 3rd-party jar
ищется другая jar или пинаются разработчики текущей.

[d4s.livejournal.com]

продукт -- железка.
пнуть разработчика -- не всегда получится ;-)

[wildman.livejournal.com]

точнее зависимости у клиента при сборке забираются из прибитого гвоздями репозитория. подконтрольного разработчику

[shaman237.livejournal.com]

Тут тебе надо решиться, сапортишь ты это дело и если сапортишь, то на каких условиях. Мое мнение: если какие-то части функционала сделаны не тобой, а реализован лишь вызов сторонних объектов, то это обязательно надо сообщить заказчику и обговорить взаимодействие в будущем.
Ps. уже удалось покушать внедрение одной системы, в которой ключевая часть была OS решением, там ЕСЕСНО есть баг, который сообщество не может/не хочет исправить, а поставщик вроде как и готов исправить, но тогда теряется возможность в будущем апгрейда этих кусков кода