Fedora 為何將 Deepin 桌面環境從官方倉庫下架？

Fedora Linux 已正式把 Deepin Desktop Environment（DDE） 的相關套件從官方軟件倉庫「退休」。這個決定由 Fedora 工程指導委員會（FESCo）作出，原因主要與安全風險、維護問題，以及與上游開發團隊的溝通困難有關。

需要留意的是：Deepin 並不是完全不能在 Fedora 上使用，只是 不再屬於 Fedora 官方維護與發佈的桌面環境。除非未來重新通過安全及維護審查，否則不會重新加入官方倉庫。

Fedora 為何作出這個決定

2026 年 5 月，FESCo 在會議中一致通過（+7 / 0 / 0）將所有 Deepin 相關套件從 Fedora 倉庫退休，並指示發行工程團隊 除非重新完成完整審查，否則不要重新加入這些套件。

審查過程中，開發者指出幾個關鍵問題：

• Deepin 某些 涉及系統權限的元件存在安全疑慮
• Fedora 內的 Deepin 套件 維護狀況不足
• 向上游開發者或維護者反映漏洞與問題時回應不理想

對 Fedora 這類重視安全標準與套件品質的發行版而言，這些因素令繼續提供 Deepin 官方套件變得越來越困難。

D‑Bus 與 Polkit 為何會引起安全疑慮

安全審查中特別提到 Deepin 某些元件與 D‑Bus 和 Polkit 互動的設計。

簡單來說：

• D‑Bus 是 Linux 系統中負責應用程式與系統服務之間溝通的機制
• Polkit（PolicyKit） 用來管理哪些操作需要管理員權限

如果某些桌面元件與這些系統權限機制整合得不夠安全，就可能出現問題。例如：

• 未經適當授權就執行系統級操作
• 錯誤的權限設計造成潛在提權漏洞

過去安全審查指出 Deepin 某些模組在這些介面上的設計存在問題，而由於這些元件接近系統核心權限邊界，其風險被認為比普通應用程式漏洞更高。

openSUSE 早在 2025 年已移除 Deepin

Fedora 的決定並不是單獨發生。openSUSE 在 2025 年已經先一步移除 Deepin 桌面環境。

當時 SUSE 的安全團隊在審查中發現：

• Deepin 套件使用了一個 繞過 RPM 安全審查流程的 workaround
• 這個 workaround 允許安裝本應需要安全團隊審核的元件
• 其中包括 D‑Bus 系統服務設定與 Polkit 權限政策 等敏感組件。

安全團隊認為這屬於嚴重的包裝政策違規，同時在程式碼審查過程中也發現 Deepin 一些設計與安全問題。

openSUSE 當時表示，如果上游修正問題並提交改進版本，未來仍有可能重新評估。但後續審查顯示改善有限，因此移除狀態仍然維持。

這些事件也促使 Fedora 社群重新檢查自己的 Deepin 套件，最終導致後來的退休決議。

維護與上游溝通問題

除了技術層面的安全疑慮，Fedora 開發者還遇到 實際維護層面的困難。

在審查過程中，有報告指出：

• 某些問題回報後 難以聯絡到相關維護者
• 安全問題與 bug 回應速度 不理想

對於依賴開源社群合作的 Linux 發行版而言，上游開發團隊能否及時回應漏洞與修補問題，是維持安全更新的重要因素。

如果缺乏這種合作，發行版維護者就需要承擔更高的風險與工作量。

這對 Deepin 用戶意味著什麼

Deepin 被 Fedora 和 openSUSE 移除 並不代表完全不能使用。

但情況會變成：

• 不再由發行版官方維護
• 不會出現在官方軟件倉庫

想繼續使用 Deepin 的用戶通常有幾個選擇：

• 使用仍然官方提供 Deepin 的 Linux 發行版
• 從第三方或社群倉庫安裝
• 自行編譯與打包相關套件

不過這些方法都意味著 安全更新與維護責任更多落在用戶身上。

Linux 發行版的安全與維護平衡

Deepin 事件其實反映了 Linux 發行版的一個常見現實：

即使一個桌面環境設計漂亮、功能完整，也必須符合發行版在 安全、套件政策、長期維護 等方面的要求。

在這次案例中，由於安全疑慮、涉及系統權限的元件設計問題，以及與上游溝通困難，最終令 openSUSE（2025）與 Fedora（2026）兩個大型發行版都選擇暫時停止提供 Deepin 官方套件。

未來如果相關問題得到解決並重新通過安全審查，Deepin 理論上仍有機會回到這些發行版的官方倉庫。