Material Theme ถูกถอดออกจาก VS Code Marketplace

 (web.archive.org)
1 คะแนน โดย GN⁺ 2025-02-27 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • ผู้ใช้ VS Code แชร์ว่า equinusocio.vsc-material-theme ถูกลบออกพร้อมข้อความว่า ถูกรายงานว่ามีปัญหา และยังเจอทั้งการบล็อกการติดตั้งใหม่หรือป๊อปอัปเด้งซ้ำด้วย
  • คำถามใน GitHub Q&A เริ่มจากการตั้งข้อสงสัยถึงความน่าเชื่อถือของคอมเมนต์ใน Marketplace และคำตอบที่ถูกเลือกก็พาไปยังลิงก์ของ ส่วนขยายทางเลือกจาก t3dotgg
  • แกนของข้อถกเถียงคือการเปลี่ยนส่วนขยายเป็น closed-source, ข้อสงสัยเรื่องการทำโค้ดให้อ่านยาก และท่าทีของผู้เขียนในการตอบรีวิวที่ซ้อนกันจนบั่นทอนความเชื่อมั่น
  • ผู้ใช้บางส่วนแชร์ว่ามีการพูดถึงประเด็นว่าเคย ถูก compromise หรือไม่ มาก่อนแล้ว โดยอ้างอิงจาก commit, บันทึกการสนทนาที่ถูกลบ และโพสต์ Reddit เมื่อ 6 เดือนก่อน
  • มีรายงานว่าการจะเอาป๊อปอัปที่เด้งซ้ำออกได้ ต้องลบโฟลเดอร์ส่วนขยายและรายการใน extensions.json ใต้ .vscode หรือ .vscode-insiders ด้วยตัวเอง หรือบางกรณีถึงขั้นต้องติดตั้ง VS Code ใหม่

ข้อความปัญหาที่ VS Code แสดง

  • ผู้ใช้รายหนึ่งแชร์ว่า VS Code แสดงข้อความ We have uninstalled 'equinusocio.vsc-material-theme' which was reported to be problematic.
  • ทุกครั้งที่ปิดแล้วเปิด VS Code ใหม่ ดูเหมือนว่าส่วนขยายจะถูกติดตั้งกลับมาอีก และแม้จะลบด้วยตนเองแล้ว ข้อความเดิมก็ยังเด้งขึ้นซ้ำ
  • ผู้ใช้อีกรายบอกว่า VS Code บล็อกการติดตั้งส่วนขยายใหม่ด้วย
  • แม้จะมีความเห็นว่า Settings Sync อาจเป็นสาเหตุ แต่ผู้ใช้ที่เจอปัญหาบอกว่าเพิ่งติดตั้ง Code ใหม่ไม่นานและตั้งค่าไว้แค่ส่วนขยายขั้นต่ำ จึงยังไม่แน่ใจ

คำตอบที่ถูกเลือกและส่วนขยายทางเลือก

  • คำตอบที่ถูกเลือกเสนอ t3dotgg.vsc-material-theme-but-i-wont-sue-you บน Visual Studio Marketplace
  • ผู้ตั้งคำถามเสริมไว้ในเนื้อหาว่าลิงก์ในคำตอบดังกล่าวมี repository ของ t3dotgg รองรับอยู่
  • ผู้ใช้รายหนึ่งแสดงความเห็นว่า “ตอนนี้มีผลลัพธ์เกิดขึ้นจริงแล้ว และวันนี้เป็นวันที่ฉันต้องทำงาน”

ประเด็นโค้ดและไลเซนส์ที่สั่นคลอนความเชื่อมั่น

  • ผู้ใช้รายหนึ่งยกประเด็น การเปลี่ยนเป็น closed-source เมื่อไม่นานมานี้และการไม่มีการเตือนล่วงหน้า พร้อมบอกว่าเมื่อเห็นรีวิวตอบกลับแบบหยาบคายต่อผู้ใช้ที่กังวล ก็ไม่ไว้วางใจอีกต่อไป
  • ผู้ใช้คนเดิมเสริมว่าโค้ดที่ถูกทำให้อ่านยากดูเหมือนผลลัพธ์จาก obfuscator.io
  • ผู้ใช้อีกรายอ้างว่าผู้เขียนส่วนขยายกำลังข่มขู่คนที่ใช้ Material Theme ในผลิตภัณฑ์ของตน และดูเหมือนจะลืมไปว่าเดิมทีเคยใช้ Apache License 2.0
    • ผู้ใช้รายนี้แนบลิงก์ที่ดูเหมือนเป็นไฟล์ไลเซนส์ในอดีต
    • คอมเมนต์เดียวกันยังอ้างว่ามีการลบประวัติ commit เพื่อทำให้ดูเหมือนว่าตั้งแต่แรกใช้ไลเซนส์คนละแบบ

บันทึกที่ถูกลบและข้อสงสัยในอดีต

  • ผู้ใช้รายหนึ่งบอกว่าดูเหมือนมีการลบ commit และบันทึกการสนทนาออกจาก Git repository ไปจำนวนมาก
  • ผู้ใช้คนเดิมพบโพสต์ Reddit เมื่อ 6 เดือนก่อนชื่อ has_the_material_theme_extension_been_compromised และแชร์ว่าโพสต์นั้นโยงไปยังลิงก์ discussion ที่เสียแล้วของ repository นี้
  • ผู้ใช้อีกรายตอบว่าเป็น “ธีมเดียวใน VSCode ที่ชอบ” และอีกคนหนึ่งบอกว่าตอนนี้มี fork ออกมาเยอะแล้ว

วิธีที่ลองใช้เพื่อเอาป๊อปอัปเด้งซ้ำออก

  • ผู้ใช้ Linux ลบโฟลเดอร์ส่วนขยายในไดเรกทอรี .vscode ด้วยตนเอง แต่ไม่หาย และบอกว่าหลังติดตั้ง VS Code ใหม่ ป๊อปอัปก็หายไป
  • ผู้ใช้ Windows แชร์ว่าลบโฟลเดอร์ส่วนขยายใต้ %USERPROFILE%/.vscode/ และลบ definition ของส่วนขยายดังกล่าวใน extensions.json แบบ manual แล้วจึงเอาป๊อปอัปออกได้
  • ผู้ใช้ Visual Code Insiders บอกว่าหลังลบโฟลเดอร์ equinusocio.vsc-material-theme-34.7.9 ใน .vscode-insiders/extensions และลบ object ที่เกี่ยวข้องใน extensions.json แล้ว ก็กลับมาทำงานได้อีกครั้ง
  • ตัวอย่างคำสั่งมีขั้นตอนใช้ cat extensions.json | jq | grep eq เพื่อหารายการ equinusocio.vsc-material-theme และใช้ rm -rf equinusocio.vsc-material-theme-34.7.9 เพื่อลบโฟลเดอร์ส่วนขยาย

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2025-02-27
ความคิดเห็นจาก Hacker News

  • โพสต์ที่ถูกลบสามารถดูได้ที่นี่: https://web.archive.org/web/20250226020241/https://github.co...

  • ผมคือ Isidor จากทีม VS Code สมาชิกในชุมชนได้ทำ การวิเคราะห์ความปลอดภัยเชิงลึก เกี่ยวกับส่วนขยายนี้ และรายงานสัญญาณเตือนหลายอย่างที่บ่งชี้เจตนาร้าย
    นักวิจัยด้านความปลอดภัยของ Microsoft ตรวจสอบคำกล่าวอ้างนั้นแล้ว และยังพบโค้ดที่น่าสงสัยเพิ่มเติมด้วย
    เราได้บล็อกผู้เผยแพร่รายนี้จาก VS Marketplace, ลบส่วนขยายเหล่านั้นทั้งหมด และลบส่วนขยายนี้ออกจากอินสแตนซ์ VS Code ทุกตัวที่กำลังรันอยู่
    เพื่อให้ชัดเจน การดำเนินการครั้งนี้ไม่เกี่ยวกับลิขสิทธิ์หรือไลเซนส์ แต่เป็นเพราะ ความเป็นไปได้ที่จะมีเจตนาร้าย เท่านั้น
    เราจะโพสต์ประกาศที่ละเอียดกว่านี้เร็ว ๆ นี้ที่ https://github.com/microsoft/vsmarketplace/
    สำหรับอ้างอิง VS Marketplace ยังคงลงทุนด้านความปลอดภัยอย่างต่อเนื่อง และสามารถดูเนื้อหาเกี่ยวกับความเชื่อถือของรันไทม์ส่วนขยายได้ที่ https://code.visualstudio.com/docs/editor/extension-runtime-...

    • VSCode ลบส่วนขยายนี้ไม่สำเร็จ มีพรอมป์ต์ให้ลบขึ้นมา พอกดยืนยันหน้าต่างก็รีเฟรช แต่ส่วนขยายยังอยู่เหมือนเดิม แล้วพรอมป์ต์ “มีปัญหา” แบบเดิมก็ขึ้นมาอีก กลายเป็น วนลูปไม่รู้จบ
      ลบด้วยวิธีปกติจากพาเนลส่วนขยายก็มีพฤติกรรมแบบเดียวกัน
      สุดท้ายต้องไปลบโฟลเดอร์ส่วนขยายโดยตรงที่ %USERPROFILE%\.vscode\extensions และลบรายการออกจาก %USERPROFILE%\.vscode\extensions\extensions.json ด้วย
      VSCode 1.97.2, คอมมิต e54c774e0add60467559eb0d1e229c6452cf8447
    • อยากให้ช่วยอธิบายความขัดแย้งนี้หน่อย ถ้าต้องพึ่งพาชุมชนให้แจ้งปัญหาใน Marketplace แปลว่า Microsoft ไม่ได้ลงทุนเพียงพอในการตรวจสอบส่วนขยายยอดนิยมด้วยตัวเองหรือเปล่า?
      ผมมองว่า โมเดลความเชื่อถือ ของ VSCode ก็พังในเชิงพื้นฐานด้วย กำลังรันโค้ดบุคคลที่สามตามอำเภอใจบนเครื่องไคลเอนต์โดยไม่มีแซนด์บ็อกซ์ใด ๆ
      คงไม่เอาระดับความปลอดภัยแบบนี้ไป deploy บน Azure แน่ ๆ แล้วทำไมใน VSCode การ “รันโค้ดบุคคลที่สามตามอำเภอใจบนเครื่องของคนอื่น” ถึงถือว่าเหมาะสม?
      ผมขอบคุณงานของทีม VSCode และก็ใช้อยู่จริง แต่ การไม่มีแซนด์บ็อกซ์ ทำให้ไม่สบายใจมาตลอด
    • อาจต้องตามรอยการอัปโหลดใหม่ด้วย
      https://marketplace.visualstudio.com/items?itemName=t3dotgg....
    • อยากตรวจสอบด้วยว่าฝั่ง Open VSX สามารถทำเครื่องหมายส่วนขยายนี้ว่าเป็นมัลแวร์ได้หรือไม่ อยากรู้ว่าทราบ ช่วงเวอร์ชัน ที่มีโค้ดอันตรายหรือเปล่า
      ถามเพราะบน https://open-vsx.org ไม่มีเวอร์ชันหลังจากที่ส่วนขยายนี้เปลี่ยนเป็นซอร์สปิดถูกอัปโหลดขึ้นไป
    • ผลบวกลวง เป็นเรื่องยากจริง ๆ และถ้าเกิดขึ้นจริงก็ส่งผลกระทบหนัก
      บัญชีผู้เผยแพร่ Equinusocio ของ Material Theme และ Material Theme Icons ถูกปักธงโดยความผิดพลาด และตอนนี้กู้คืนแล้ว
      เราเคลื่อนไหวอย่างรวดเร็วเพื่อความปลอดภัย แต่เราทำพลาด ธีมเหล่านี้ไปกระตุ้นตัวชี้วัดการตรวจจับมัลแวร์หลายตัวภายใน Microsoft และผลการสืบสวนทำให้ได้ข้อสรุปที่ผิด
      เราให้ความสำคัญกับความปลอดภัยของระบบนิเวศ VS Code อย่างมาก และดำเนินการอย่างรวดเร็วเพื่อปกป้องผู้ใช้
      เราเข้าใจความคับข้องใจและปฏิกิริยารุนแรงของผู้สร้างส่วนขยาย Equinusocio และได้รับฟังเสียงนั้นแล้ว นี่เป็นเรื่องแย่ แต่บางครั้งเรื่องแบบนี้ก็เกิดขึ้น เราพยายามเต็มที่ แต่เราก็เป็นมนุษย์ และตอนนี้หวังว่าจะจัดการเรื่องนี้ให้เรียบร้อยแล้วเดินหน้าต่อไป
      เราจะทำให้นโยบายเกี่ยวกับโค้ดที่ถูกทำให้อ่านยากชัดเจนขึ้น และอัปเดตสแกนเนอร์กับขั้นตอนการสืบสวน เพื่อลดโอกาสที่เรื่องแบบนี้จะเกิดขึ้นอีก
      ส่วนขยายเหล่านี้ปลอดภัย และได้รับการกู้คืนให้ชุมชน VS Code ใช้งานได้แล้ว
      Material Theme: https://marketplace.visualstudio.com/items?itemName=Equinuso...
      Material Theme Icons: https://marketplace.visualstudio.com/items?itemName=Equinuso...
      ขออภัยอีกครั้งที่ผู้สร้างต้องพลอยได้รับผลกระทบจากเรื่องนี้ และเราตั้งตารอธีมกับส่วนขยายต่อ ๆ ไปของเขา เราได้ติดต่อเขาเพื่อหารือเรื่องการชดเชย และขอบคุณที่เขาอดทน
      Scott Hanselman และทีม Visual Studio Code Marketplace - @shanselman

  • ผมทำฟอร์กที่เด่นที่สุดของส่วนขยายนี้ชื่อ “Material Theme (But I Won't Sue You)”
    ผู้ดูแลเดิมล้ำเส้นไปอย่างสิ้นเชิงเมื่อปีที่แล้ว เขาเอาซอร์สที่เดิมเป็น Apache 2 ลงจากออนไลน์ แล้วเริ่มขู่ว่าจะฟ้องคนที่โฮสต์เวอร์ชันทดแทนหรือเอาไปใส่ใน IDE อื่น
    เพื่อความระมัดระวังอย่างเพียงพอ ผมทำมาตรการต่อไปนี้กับฟอร์กของผม ทีม VS Code กำลัง audit อยู่ตอนนี้ และผมอนุญาตอย่างเต็มที่ว่าถ้าพบโค้ดอันตรายแม้แต่จุดเดียว ก็ให้ถอดออกจาก Marketplace ทันทีและบังคับลบจากผู้ใช้ได้
    ผม audit โค้ดเบสอย่างละเอียดด้วย ไม่พบส่วนที่ดูเป็นอันตราย และลบโค้ดที่เกี่ยวกับ changelog, analytics, Open Collective และ HTML rendering ออกทั้งหมด
    สิ่งที่น่ากังวลเล็กน้อยมีแค่ HTML สำหรับ changelog กับ Sanity loader เลยถอดออกหมดแล้ว ผ่าน PR สองอัน ลบ dependency แทบทั้งหมดและลบไป มากกว่า 7,000 บรรทัด ซึ่งส่วนใหญ่เป็น package-lock
    ถ้ามีใครอยาก audit เอง repo อยู่ที่นี่: https://github.com/t3dotgg/vsc-material-but-i-wont-sue-you

    • แค่ความจริงที่ว่า theme สามารถสะสมโค้ด analytics กับ dependency จำนวนมากได้เองก็ดูเหลวไหลแล้ว ปกติ theme ควรเป็น ชุดสี/สไตล์ที่จบในตัวเอง
      ที่น่าเหลือเชื่อยิ่งกว่าคือมีใครบางคนสามารถ “บังคับลบ” อะไรก็ได้จากเครื่องของผม
      โชคดีที่ผมไม่ใช่ผู้ใช้ VS Code ดูเหมือนว่าใน Marketplace กับปลั๊กอินจะมี เสียงรบกวนแบบองค์กร คลาสสิกเกิดขึ้นครบหมด
    • ไม่เข้าใจว่าทำไมทั้ง repo หรือหน้า Marketplace ถึงไม่มีสกรีนช็อตสักภาพที่แสดงว่ามันหน้าตาเป็นอย่างไร ผมพลาดอะไรไปหรือเปล่า?

  • น่าสนใจว่ามีคนใน Reddit สังเกตเห็นการเปลี่ยนแปลงที่น่าสงสัยของส่วนขยายนี้ตั้งแต่ 7 เดือนก่อน [1] ในโอเพนซอร์ส การทำ obfuscation มักเป็นสัญญาณอันตรายขั้นรุนแรง
    Microsoft ควรทบทวนโมเดลความปลอดภัยของส่วนขยาย VS Code อย่างจริงจัง วิธีปัจจุบันทำให้มันคุ้มค่าต่อการตกเป็นเป้าหมายเกินไปแล้ว
    ต่อให้บล็อกนักพัฒนาคนหนึ่ง ก็จะมีส่วนขยายอันตรายใหม่อีก 10 ตัวตามมา
    [1] https://www.reddit.com/r/vscode/comments/1eq40o2/has_the_mat...

    • ต้องระวังสิ่งที่ตัวเองเรียกร้อง
      VS Code อาจเป็นหนึ่งในผลิตภัณฑ์ที่ดีที่สุดของ Microsoft และเหตุผลสำคัญมากคือ extension Marketplace
      ถ้า Microsoft คุม Marketplace เข้มขึ้น คุณภาพของ VS Code มีโอกาสสูงที่จะแย่ลง
      เหตุผลเป็นแบบนี้ ถ้าการรีวิว Marketplace เข้มขึ้น กำแพงในการเข้าร่วมก็สูงขึ้น ทำให้จำนวนส่วนขยายโดยรวมลดลง เมื่อส่วนขยายน้อยลง Microsoft ก็จะมีแรงจูงใจให้ใส่ฟีเจอร์เข้าไปในตัว VS Code เองโดยตรง ยิ่ง Microsoft ใส่ฟีเจอร์มากขึ้น VS Code ก็จะยิ่ง บวมเทอะทะ
      สุดท้าย การเพิ่มการ audit ด้านความปลอดภัยให้ extension Marketplace อาจนำไปสู่ VS Code ที่บวมเทอะทะกว่าเดิม
      แน่นอนว่าถ้ามีการควบคุมความปลอดภัยที่ดีกว่าสำหรับ extension Marketplace ก็คงดี แต่ผมไม่เชื่อว่า Microsoft จะทำได้ในแบบที่ทำให้ผลิตภัณฑ์ดีขึ้นสำหรับผู้ใช้จริง

  • อ่านเรื่องที่เกี่ยวข้องแล้ว คนนี้ดูไม่มั่นคง เหมือนคิดว่า รหัสสีฐานสิบหก เป็นของตัวเองจริง ๆ
    ในเชิงเทคนิคก็ไม่ดีนัก และทำให้คนเก่ง ๆ หนีไปหมด
    ผมไม่ได้ใช้ซอฟต์แวร์ของเขา แต่หวังว่าเขาจะผ่าน episode นี้ไปได้เร็ว ๆ และเรียนรู้ว่าตัวเองไม่ได้เป็นคนคิดค้น Material

    • Pantone คงอยากพูดอะไรสักคำ
    • บางคนบรรยายเขาว่าเป็น lunatic แต่นี่คือประเด็นด้านความปลอดภัย เราไม่ควรสรุปแค่ว่าคนที่ใส่โค้ดอันตรายเข้าไปใน IDE ของนักพัฒนาทั่วโลกได้สำเร็จนั้นไม่มั่นคงหรือบ้า
      กลับกัน ควรมองว่าเขาอาจจะ เจ้าเล่ห์และหลอกลวง หรืออาจเป็นตัวแทนของหน่วยข่าวกรองก็ได้
      การสงสัยแบบนั้นกับคนที่ใส่โค้ดอันตรายลงในเครื่องมือนักพัฒนา ไม่ใช่ความหวาดระแวงเกินเหตุ

  • มีคนอัปโหลดส่วนขยายทดแทนชื่อ Material Theme (But I Won't Sue You)
    https://marketplace.visualstudio.com/items?itemName=t3dotgg....

    • ผู้เขียนเดิมพูดเยอะมากเรื่องค่าใช้จ่ายในการพัฒนา/บำรุงรักษา เลยสงสัยว่าตกลงต้องบำรุงรักษาอะไรนักหนา
      ผมลอง clone repo https://github.com/t3dotgg/vsc-material-but-i-wont-sue-you มาดู สรุปจำนวนบรรทัดโค้ดเป็นแบบนี้
      CSS: 2 ไฟล์, 142 บรรทัด, โค้ด 119 บรรทัด, คอมเมนต์ 0 บรรทัด, บรรทัดว่าง 23 บรรทัด
      TypeScript: 32 ไฟล์, 2026 บรรทัด, โค้ด 1650 บรรทัด, คอมเมนต์ 243 บรรทัด, บรรทัดว่าง 133 บรรทัด
      HTML: 2 ไฟล์, 59 บรรทัด, โค้ด 49 บรรทัด, คอมเมนต์ 1 บรรทัด, บรรทัดว่าง 9 บรรทัด
      รวมทั้งหมด 36 ไฟล์, 2227 บรรทัด, โค้ด 1818 บรรทัด, คอมเมนต์ 244 บรรทัด, บรรทัดว่าง 165 บรรทัด
      ในนี้ TypeScript 622 บรรทัดคือ นิยามสีฐานสิบหก แยกตาม variant ใน scripts/generator/settings/specific
      ส่วนที่เหลือก็ดูเหมือน boilerplate เป็นส่วนใหญ่ เช่น 599 บรรทัดใน scripts/generator/color-set.ts
      ดังนั้นคำถามก็ยังอยู่: ตกลงต้องบำรุงรักษาอะไรที่ใช้เวลามากกว่าสองสามนาที?
      ผมเคยเผยแพร่และดูแลโปรเจกต์โอเพนซอร์สที่มีสาระกว่านี้มากเป็นเวลาหลายปี แต่ไม่เคยคาดหวังเงินสนับสนุนเลย
    • คนที่ทำส่วนขยายทดแทนน่าจะเป็น tech YouTuber ชื่อ theo (https://m.youtube.com/@t3dotgg)
    • โอ้ นั่นผมเอง พูดตรง ๆ ไม่แปลกใจที่คนนี้ดูเสียสติไปหน่อย

  • Material theme มันมีอะไรนักหนาถึงทำให้คนเป็นแบบนี้? ฝั่ง IntelliJ ก็เคยมีเรื่องคล้ายกันเมื่อราว 5 ปีก่อน
    แต่ถึงอย่างนั้น อันนั้นก็ไม่ได้มีแค่สีตามตัวอักษรจริง ๆ

    • ดูเหมือนว่าอะไรที่ได้รับความนิยมและมี โอกาสทำเงิน ก็จะเป็นแบบนั้นหมด

  • มีใครช่วยชี้ได้ไหมว่าส่วนที่เป็นอันตรายอยู่ตรงไหนใน repository? หาไม่เจอ
    เจอโค้ดที่ถูก obfuscate ไว้ที่นี่: https://web.archive.org/web/20250226020241/https://github.co...

  • แปลกมากที่คนคนนี้รับ contribution จากคนอื่นแล้วเปลี่ยนเป็น ซอร์สปิด ดูไม่ค่อยถูกต้อง แต่ผมไม่ใช่ผู้เชี่ยวชาญด้านลิขสิทธิ์

    • โดยทั่วไป contribution มักถือว่าให้มาภายใต้ไลเซนส์ปัจจุบัน
      maintainer สามารถเปลี่ยนไลเซนส์ได้ แต่ไม่ได้ส่งผลย้อนหลังต่อ contribution เดิม โดยพื้นฐานแล้วทุกอย่างก่อนการเปลี่ยนไลเซนส์ยังคงอยู่ภายใต้ไลเซนส์เดิม
      นี่คือเหตุผลที่ซอฟต์แวร์ยอดนิยมยัง fork ได้แม้จะเปลี่ยนไลเซนส์
      ถ้าจะเปลี่ยนไลเซนส์ย้อนหลัง ต้องได้รับความยินยอมจาก contributor หรือมีเอกสารที่ให้สิทธิเช่นนั้น
      Contributor License Agreement (CLA) อาจให้สิทธิ maintainer เปลี่ยนไลเซนส์ย้อนหลังได้ตามต้องการ แต่ไม่ใช่ CLA ทุกฉบับจะเป็นแบบนั้น
      ซอฟต์แวร์ชื่อดังที่เปลี่ยนไลเซนส์มี Redis และ Terraform ในกรณีแบบนี้ ซอฟต์แวร์ที่เผยแพร่ไปแล้วก็ยังใช้งานได้ภายใต้ไลเซนส์เดิม และไลเซนส์เดิมนั้นอนุญาตให้ fork ได้
    • แต่เดิม Material เป็นผลงานของเขาจริงหรือเปล่า?
    • คล้ายกับโปรเจกต์โอเพนซอร์สจำนวนมากที่บริษัทเป็นผู้ดูแลหลัก เช่น Red Hat หรือ Terraform แล้วเปลี่ยนเป็นแบบ ไม่ใช่เชิงพาณิชย์

  • ดีที่เครื่องมือส่วนใหญ่สมัยนี้มีธีมมาตรฐานที่ทำมาค่อนข้างดีติดมาให้
    ถ้าต้องการลดความเสี่ยงแบบนี้และติดตั้ง extension/add-on ให้น้อยที่สุด ก็เป็นทางเลือกที่ค่อนข้างสมเหตุสมผล
    แน่นอนว่าการที่ซอฟต์แวร์ปรับแต่งธีมได้ถึงระดับนี้ และในบางกรณีช่วยปรับปรุง usability กับ accessibility ได้ ก็เป็นเรื่องดี
    แต่ feature request เกี่ยวกับ การจำกัดสิทธิ์ ควรถูกจัดการ

    • แปลกดีที่ธีมเองก็อาจกลายเป็นความเสี่ยงด้านความปลอดภัยได้
      ดูเหมือนจะไม่ได้ประกอบด้วยแค่รหัสสีและ definition แบบง่าย ๆ อย่างชัดเจน
      คงต้องทำให้ ระบบธีม เข้มงวดขึ้นกว่านี้