该论文通过定性研究方法（半结构化访谈）对开源软件供应链中的安全挑战进行了深入分析。研究招募了来自不同背景的参与者，包括开源维护者、贡献者和安全专家，探讨了他们在开源供应链安全方面遇到的困难、当前实践以及改进需求。核心发现包括：开源项目普遍缺乏安全资源（如代码审查、安全测试），维护者面临倦怠和有限时间之间的矛盾；供应链攻击（如依赖混淆、恶意包植入）日益增加但检测手段不足；社区协作中存在信任与安全之间的平衡问题。论文提出了若干改进建议，如加强自动化安全工具、建立安全基线、改进依赖管理实践等。该研究强调了“回馈”机制的重要性，即企业用户应积极向所依赖的开源项目贡献安全补丁和资源，以缓解供应链风险。实验部分主要基于对多个参与者访谈数据的编码和主题分析，得出了一系列具有代表性的主题。该工作为安全社区理解开源供应链安全挑战提供了实证基础，并为政策制定者和从业者指明了改进方向。