知名Linux发行版openSUSE宣布从其Tumbleweed滚动更新版本及未来Leap 16.0中移除深度（Deepin）桌面环境（DDE）。这一决定源于深度社区打包者长期违反openSUSE的打包政策，通过技术手段绕过安全审查机制，导致存在重大安全风险的组件被植入系统。

openSUSE团队在长达七年的审查中，记录了深度组件的多项高风险问题：

  1. 权限失控：多款D-Bus服务以root权限运行，允许任意用户执行高危操作（如创建用户组、格式化磁盘、操控系统服务）。
  2. 认证缺陷：Polkit策略使用已弃用的UnixProcess验证方式，存在竞争条件漏洞，可绕过身份认证。
  3. 设计缺陷：例如深度文件管理器（deepin-file-manager）的D-Bus服务被评价为“安全噩梦”，未经验证即可修改系统配置，甚至覆盖任意文件。
  4. 上游沟通困境：深度开发团队多次未回应安全报告，修复不彻底，甚至在新版本中引入更多漏洞。

openSUSE团队指出，深度桌面环境的代码质量与安全文化存在系统性缺陷：

  • 安全文化缺失：同类漏洞反复出现，上游缺乏修复意愿与资源。
  • 用户隔离风险：组件设计未考虑多用户场景，可能破坏系统防御纵深。
  • 信任崩塌：打包者绕过审查的行为虽无恶意，但严重违反政策，迫使社区采取“清零”措施。

openSUSE团队呼吁深度项目重启安全协作，并希望其他Linux发行版与安全社区共同介入，推动深度建立规范的安全响应机制。若未来有新维护者能系统性修复问题，该桌面环境或有望重新引入。

官方原文：https://security.opensuse.org/2025/05/07/deepin-desktop-removal.html