@jinqzzz #1 如果不是链接中的新闻，我根本想不到这种操作，平时 apt install 的时候，除非找不到包，否则从不看提醒。谁能想到会有这么不要脸的事发生在 ubuntu 。

@hez2010 #2 我觉得这么偷偷摸摸的就是问题，用户输入 apt install 亦或 snap install 的时候，预期是不一样的。

@Jirajine
不是 LTS 的 ubuntu ，难道 apt 仓库里的 chromium 就不是 snap 的了？
https://packages.ubuntu.com/mantic/chromium-browser 2310 版本里的 chromium 一样是 snap 版的壳。

再退一步，用 LTS 的版本就是为了能够长时间不升级，怎么到你这里就成了用 LTS 反而就该用更新的版本了？

再再退一步，你想某个整体系统长时间不升级，但是某些特定包更新，那也应该给用户自己选择。同时在 apt 仓库里维护一个版本，snap 提供另外一个版本，交给用户自己选择想要哪个版本，而不是强制推 snap 版。

@Jirajine #12

`所以官方仓库里自然不应该打包 chromium ，因为浏览器是必须要一直升级的程序，无论你通过 snap/第三方仓库等方式安装。`

应该交给用户选择，因为据我所知有些给终端用户的就是要固定的版本，不需要一直升级，整一套都是内外网隔离的。

`snap 是专为 ubuntu 的目标用户设计的，如果你发现你很讨厌它，说明你已经不再是 ubuntu 的目标用户了，继续使用 ubuntu 确实是习惯使然。

你这话总感觉有种爱用不用不用拉到厂商就是爷的感觉，这话也就适合 toC 说说了，toB 。。。

@Jirajine
谁告诉你浏览器是必须要一直升级的程序？

按你这说法，内核还是必须要升级的，服务器还是必须要升级的，或者说操作系统本身就是必须要升级的。所以用 LTS 的结果就是我必须要升级？？？

用 LTS 的目的就是不升级，同时还能接收必要的安全更新，这本是 security 源的作用，而不是为了最新的功能不停的升级。

至于 snap ，canonical 都没敢这么直白的说出专门给 Ubuntu 用，官方的说法都是为了提供跨平台的 Linux 包格式，你是怎么才能说出这话的？

snap 如果只是安静的当一个商店或者安装工具，我能忍。但是他不满足于做这样一个角色，而且要命的是，他这个角色也做不好。其次，snap 还有下面几宗罪：
1 ，snapd 会在后台运行，占据你的 CPU 和内存资源；
2 ，snap 会把很多上游 apt 源里面的包，悄咪咪的替换成自己的 snap 包，他自己的那些个安装包一个个都奇大务必，随便一个简单的工具，都大几百 M ，完全不 care 你的磁盘空间；
3 ，snap 不会主动清理程序的旧版本的 snap 包。
4 ，你千辛万苦干掉了 snap ，不小心升级了一下，他又回来了。

最后，给大家分享一个手动清理旧版本的 snap 包的脚本：
``` shell
#!/bin/bash
# del_old_snap.sh
# https://superuser.com/a/1330590
# Removes old revisions of snaps
# CLOSE ALL SNAPS BEFORE RUNNING THIS set -eu

snap list --all | awk '/disabled/{print $1, $3}' |
while read snapname revision; do
snap remove "$snapname" --revision="$revision"
done
```

mint 团队分析得很透彻：
1. snap 开源，但 snap 仓库闭源且唯一不可更改
2. snap 仓库不存在上下游，社区和个人都不可以给它打补丁
3. 悄摸替换用户操作属于后门行为

第 2 点在微软苹果那不算个事，Canonical 毕竟是个商业公司，已经为开源做了不少贡献了，习惯了开源的用户还是改发行版吧

Update Google Chrome
To make sure you're protected by the latest security updates, Google Chrome can automatically update when a new version of the browser is available on your device. With these updates, you might sometimes notice that your browser looks different.

https://support.google.com/chrome/answer/95414?hl=en

现代的浏览器都是自动更新的(说的就是从 chrome 开始玩的)，OS 厂商既无意愿也没有能力维护一个所谓的 LTS 版本浏览器

看了所有的留言，一点都不觉得意外。古往今来，新和旧的冲突一直是这样的。绝大部分的“旧”根本不愿意去了解一丁点“新”。反对 snap 的很多人真的去了解过为什么要有 snap 以及 apt 到底有什么问题吗？他们只是习惯性的抗拒新东西而已，甚至没有意识到他们讨厌的根本不是 snap ，而是 Canonical 的安装和更新政策！

回到 snap vs apt ，对我而言，就一个点我就很乐意接受 snap （但也可能是最为反对者所不喜的吧）：依赖一起打包。

全局依赖在“远古”硬盘和内存空间受限的时候是不得已的选择，Windows 上所谓的 dll 地狱；但是现在硬盘和内存相对充裕，我更关心方不方便，稳不稳定，安不安全。依赖一起打包虽然增大了安装包，运行时还会增加内存，但是不会受到其他安装包的影响，可以很容易实现：

* 沙盒，
* 原子安装和删除，
* 多版本并存。

这种趋势并不是 snap 独有，我同样很乐意使用 AppImage ，只是在 Ubuntu 上，snap 有“官方”支持。

@williamx 44#
类似的设计甚至 AppImage ，大家都用的很开心。我们讨厌的不是 canonical 的安装和更新策略，就是单纯的反对 snap 的设计：
1 只有官方源，没有第三方镜像。canonical 都不考虑为什么会出现 mirror 吗？
2 一堆/dev/loop 到底有什么意义？有必要吗？没有提升途径吗？
3 基于 Ubuntu core ，面向 ununtu 的 Linux 开发是吧？
4 和 unity 一样，想做点什么，但是强行推私有（ mir ，你也别躲），关键还一堆现实问题（启动慢，功能支持差）。菜就多练，能力不足还想挣主导权，这是原罪。

归根结底，还是因为 canonical 是个商业资本公司，它想把 Linux 的一切都捆绑到自己身上。它所做的一切都是赚钱，不是开发 Linux 系统和发展生态。

我一直以为 snap 只是在桌面版, 原来服务器版也有呀.

看了眼 orbstack 虚拟机, 并没有这东西.

服务器我是用 deian.桌面 arch, 从未被这东西困扰过.

@Jirajine #40
安全补丁不是功能性的补丁，不是要求你一直不停的升级到最新版本。浏览器自然也不需要一直升级，而只是在必要的安全漏洞出现时才更新。否则内核也是 security critical 的，你难道想运行一个有提权漏洞的内核，让随便一个普通用户都能随时提权为 root ？各种服务器（ sshd/nginx/apache ）也是 security critical 的，总不可能一个服务器存在 RCE 随随便便让人黑进来？

我前面已经说过，LTS 的目的就是保持系统不升级，但依旧接受必要的安全布丁。这些必要的安全补丁是通过 security 源给你推送的（比如 noble-security/jammy-security ）。既然 LTS 里带一个 S 当然是指厂商提供支持（ Support ），并且还是能维持较长的时间（ Long Term ），不然怎么叫 Long Term Support ？

所以实在受不了 Canonical 的骚操作就投入 Debian 的怀抱吧.jpg, 特别是生产环境给服务器用的, Debian 干净多了, 要高级支持不如 RedHat 系列.

虽然日用 Debian 就一毛坯房, 啥都得得自己装修, 最近从 Windows 切换过来还蛮不习惯的.

@dingwen07 你试过卸载 snap 就知道这玩意儿有多流氓了，堪比 360 和 windows update 。

删了之后，你 apt 装了个被重定向（劫持）为 snap 安装的软件之后，snap 他又回来了（像楼主提到的 chromium ）
你升级下系统，snap 他又回来了。

最搞笑的很多人为了省系统资源、图稳定装的是 Ubuntu Server ，这个 snap 也会给你装上。需要 snap 的场景很多都是那种 apt 里面没有的桌面应用，比如 7zip ，我上 Ubuntu Server 都不要图形界面了，你还给我弄一个 snap ，我真的谢谢 Canonical 。

@Jirajine #63
我不知道我需要说多少遍，安全更新不是功能更新，你偏要把二者混淆。
backports 和 security 也是两个东西。https://help.ubuntu.com/community/UbuntuBackports ，backports 的目的是给旧版的 ubuntu 提供新版的包，而不在与修复其中的安全漏洞。

我根本不知道你口中所谓的“大部分的安全漏洞根本没有 CVE”这句结论怎么来的。如果一个漏洞或者 bug 根本不重要，那么没有 CVE 也很正常。但如果是严重的漏洞，肯定会有 CVE 。而不重要的 bug fix 不会作为安全更新被推送也正常。

# 12:
> 因为浏览器是必须要一直升级的程序

# 40:
> 浏览器是 security critical 的，你不会想运行没有安全更新的浏览器访问一个网站直接被 RCE 。

我再重复一边，一个包我需要安全更新，不代表我需要一直保持到最新版本。一个包 5.1.0 的版本存在严重安全漏洞，我只需要 5.1.1 的版本，或者是 5.2.x 的版本修复这个漏洞，不代表我就一定要更新到 6.8.1 。

用个毛线的 chromium-browser

直接用 firefox 官网下载的 .tar.gz 发行的版本不就完了，系统自带的 snap 版本视而不见～

@cnt2ex #66 backport 是指把上游更新的代码中部分（需要的功能、bug 修复、安全漏洞修复）移植到旧版而不破坏兼容性。给旧版系统提供新版的包，只是其中一种。
大部分漏洞并不是严重的安全漏洞，甚至没有被认作为安全漏洞就被当作一般的 bug 修了，这些漏洞是不会收到 cve 的。

不知道你要强调的是什么，上面说的很清楚了，浏览器作为足够复杂和足够大攻击面的应用，os 厂商既没有能力也没有意愿为你提供 long term 的安全更新。所以你要安全更新，就只能一直升级到新版，并且不应该被包含在 lts 的 repo 里。
@shijingshijing #65 你说的是两个不同的问题。浏览器不适合包含在 lts 源里，但 ubuntu 推荐你用什么方式去安装最新版的浏览器就是另一回事了。还是那句话，如果你发现你不喜欢 snap ，那你真的确实不适合用 ubuntu ，snap 是给特定的目标群体设计的，ubuntu 这个发行版也是只适合这个群体。snap 不是容器，它的设计有它的 trade off ，比如 snap 可以一键安装 k3s ，并非 linux 用户但工作中需要操作 linux 服务器的开发和运维人员非常喜欢这种功能。

因为安装 vps 要使用 certbot 自动更新证书，结果发现新版的 certbot 强制要 snapd

You'll need to install snapd and make sure you follow any instructions to enable classic snap support.
Follow these instructions on snapcraft's site to install snapd.

一开始没在意，就按它的要求安装了 snapd ，然后就看它花花地下载一堆各类依赖项
因为是个小机，对空间占用有点敏感，所以安装完以后 df -lh 一看，硬盘空间少了 2G

我只要定期更新下证书而已，可你到底干了些什么？！真是一坨大便啊！

赶紧卸载了

@Jirajine
>你说的是两个不同的问题。

你看到的是浏览器的漏洞问题和 snap 的漏洞问题，我认为这本质是一个问题，用户使用安全的问题。snap 的做法更像是为了解决一个问题，引入了一堆更糟糕的东西，似乎是解决了最初的问题，但对用户来说代价却很大：
1 ，snap 的包闭源，自己即使发现问题也无法手动去修；
2 ，snap 本身可能带来更多的问题；
3 ，即使前面的都 OK ，snap 本身占用大量不必要的资源，严重影响了用户正常使用；
4 ，即使真的发生严重的问题，我相信上游发布更新绝对会优先考虑 apt, rpm 这种影响力更大的源，snap 不仅时效性差，而且掌握在 Canonical 一家手里，什么时候更新得看 Canonical 的心情，所以真的出了问题，我觉得 snap 可能对用户损失更大。

>snap 是给特定的目标群体设计的，ubuntu 这个发行版也是只适合这个群体。

我倒觉得 snap 不是给什么群体设计的，是纯粹出于 Canonical 的商业目的设计的，snap 没有吸收开源社区里面一些优秀的案例，出发点本身就是 Canonical 的商业利益，所以没有所谓的适合这个群体，反倒是伤害了整个社区。

@cnt2ex 他说的 backport 看来是作为一个通用词，不是说指 deb 系发行版里的`backports`这个 repo

不过“一个包 5.1.0 的版本存在严重安全漏洞，我只需要 5.1.1 的版本，或者是 5.2.x 的版本修复这个漏洞，不代表我就一定要更新到 6.8.1”这事不一定可行。虽然大部分基础设施类软件的上游一般都会在受支持的版本里仍然提供 critical fix ，但有一种情况，可能 distro 里打包的随着时间已经不受上游支持了，那就只能 distro 自己 backport 了；还有一种情况就是像 chromium 这样，上游一直在 rolling ，并不会维护特定的 LTS 版本，要安全补丁只能跟着更新，而且代码量又巨大，distro 做不来 backport 的。

@Jirajine #71
@adoal #74
我觉得我说的已经很直白了，因为 @Jirajine 通过强调浏览器有多么多么 security critical ，从而得出"浏览器需要不停升级"这个结论，所以我说他把安全更新和其他功能性更新混在一起。我也举了例子了，如果一个包 在 5.1.0 版本 存在严重的 security 漏洞，那么我只需要更新到任意一个没有这个严重漏洞的版本，从而停止继续升级，而不需要继续升级到 6.8.1 ，更不需要再未来出了 7.0 的版本继续升级。

看到了吗？我在 5.1.0 升级到 5.1.1 以后已经修复了严重的安全漏洞，我就已经停止更新了，这意味着不需要继续升级了。
我已经停了，可能你们还没看到我停在这里，我举下手✋，看到没，我停下来了。here here ，I am at 5.1.1 now.

总结上面的，说明 security critical 这一点，根本无法作为一个包"必须要一直升级的程序"的理由。这也是我举其他几个软件的原因（内核，各种服务器）。

现在知道我说的什么意思了吗？

@cnt2ex 我对你和 @Jirajine 的整个话题没有参与讨论的欲望，他说的因为 security critical 而一直升级的合理性我也不帮他辩护（事实上我也不同意）。

只是针对你说的“一个包 5.1.0 的版本存在严重安全漏洞，我只需要 5.1.1 的版本，或者是 5.2.x 的版本修复这个漏洞，不代表我就一定要更新到 6.8.1”这段。

你认为 5.1.0 有严重 security 漏洞，你升到 5.1.1 修复了，就不需要继续升级了。但如果上游的浏览器开发团队坚持 rolling 发布，过时的版本哪怕安全漏洞也不修，想要解决安全问题就要跟着它升到很信的版本呢？如果 5.1.0 里的某个严重安全漏洞过了很久才被人发现，这时上游发布的版本已经是 5.2.x 甚至 6.8.x 了，它只会在 6.8.x branch 里修这个漏洞，已经不管 5.2.x 了，你还想要一个 5.1.1 ，跟谁去要呢？浏览器团队已经不管这事了。那只能 distro 软对来做 backport……然后这么大一个软件，并不能指望 distro 团队的力量跟的上，即使能力有，也不能指望人家愿意往这上面投精力，毕竟这个“特定的”浏览器没有那么刚需，人家还有肯出 ESR 版的保底浏览器呢。

再重申一边，我不支持 @Jirajine 的观点。我同意你举的例子，很多服务器基础设施软件的安全更新行为足以证明“security critical 这一点，根本无法作为一个包"必须要一直升级的程序"的理由”。但是，回到某个“特定的”浏览器这事，人家上游怎么发版，是人家自己说了算的，人家就是要 rolling ，就是不管旧版本的 branch ，那么对这个“特定的”软件的“security critical”保障，那就只能靠追新来解决。说到底是 symver point release 的 distro 跟 rolling release 的应用程序之间维护方式的矛盾，只是个特例，咱们拿具体程序来讨论的时候就是说的这个特例。

@Jirajine #82
真无语，看来我说的又没有让你理解。

怎么又回到了之前的原点呢，我说了，需要安全更新不代表需要一直升级。

我前面的例子已经说过了，我已经在 5.1.1 停了，没继续往 6.8.x 版本继续升级了，你知道了吗？看到了吗？ 5.1.1 ，不是 6.8.x 。不过我估计你还是没看到。

你要是还不理解我说的什么意思的话，估计之后你也无法理解了。

@cnt2ex 他想说发行版的打包者没有能力跟上浏览器上游的更新速度，会导致 backport 不及时

我的评价是：这个能力恰恰是发行版搞 LTS 的原因，以及一些厂家拿来卖钱的地方，如果不信任这种能力那就不要用 LTS 直接来愉快地滚 Arch 好了，也犯不上用这种自带一大坨专用依赖的包（