打开GitHub，开源搜一个开源项目，软件点进Releases页面，下载下载链接指向的网站往往是SourceForge或者项目自己的服务器。这个过程我重复了快十年，开源但直到去年帮一个朋友找老版本的软件GIMP安装包，才真正意识到开源软件下载这件事有多零散。下载

SourceForge曾经是网站最大的集散地。2000年代初，开源几乎所有的软件开源项目都在上面托管。我翻过它的下载历史页面，2004年巅峰期托管了超过10万个项目。网站但现在打开SourceForge，开源首页推荐位经常挂着一些看着就不太对劲的软件软件——比如"Driver Booster"这种明显是商业推广的东西。去年有个安全团队扫描了SourceForge上排名前100的下载下载，发现其中三分之一捆绑了广告软件。这不是SourceForge本身的问题，是它允许项目自己往安装包里塞东西。所以我现在看到SourceForge的链接，会先看一眼项目主页有没有GitHub的Release页。

GitHub Releases成了事实标准。大部分活跃项目把编译好的二进制文件放在这里。好处是版本清晰，每个tag对应一个Release，能直接看到更新日志。坏处是GitHub的下载服务器在国内速度不稳定。我试过从GitHub下Ubuntu的ISO，速度在200KB/s到2MB/s之间跳。后来发现清华的TUNA镜像和阿里云的开源镜像站，速度能跑满带宽。TUNA同步了Ubuntu、CentOS、Debian这些主流发行版的仓库，还有Anaconda、Docker的镜像。阿里云镜像站更偏企业级，但个人用也完全没问题。

有些项目走自己的路。VLC Media Player的官网下载按钮直接指向VideoLAN的服务器，速度其实还行。7-Zip更绝，作者Igor Pavlov就挂在一个叫7-zip.org的域名下，页面简陋得像上个世纪的产物，但下载从来没出过问题。这种独立托管的项目，好处是没有中间商，坏处是如果服务器挂了或者作者不维护了，下载链接就变成404。我收藏夹里就有几个这样的死链，比如一个叫"K-Meleon"的浏览器，最后一次更新是2016年，官网已经打不开了。

国内的开源下载站分两类。一类是镜像站，比如中科大的USTC Mirror，纯粹做同步，不碰软件本身。另一类是像"开源中国"的码云（Gitee）这种，既做托管也做下载。Gitee的Release页面和GitHub几乎一样，但速度确实快。不过要注意，有些项目在Gitee上只放了源码，二进制文件还是指向GitHub。我下Deepin的ISO时，官方推荐的是自己的CDN，速度比从GitHub下快得多。

下载开源软件有个坑：校验。很多网站只给一个下载链接，不给SHA256或者MD5。我习惯下完用certutil -hashfile 文件名 SHA256（Windows）或者sha256sum 文件名（Linux）对一下。有次下了一个小众的PDF阅读器，校验值对不上，重新下了三次都一样，最后发现是网站上的校验值写错了。这种事在个人项目里不罕见。

另一个坑是版本选择。开源软件的版本号有时候很迷惑。比如Blender，LTS版本和最新版并存，官网会明确标注哪个是长期支持。但有些项目只给一个"latest"标签，点进去发现是开发版，bug多到没法用。我现在的习惯是：生产环境用发行版仓库里的版本，个人尝鲜去GitHub Releases找带"stable"标签的。

下载速度这事，其实跟软件本身关系不大，主要看你的网络到服务器的路由。我试过同一个软件，从GitHub下要十分钟，从TUNA下只要一分钟。所以我现在下大文件之前，会先ping一下几个镜像站的延迟，挑最快的那个。这招对Ubuntu的ISO特别管用。

开源软件下载网站的未来，我觉得会越来越集中到GitHub和GitLab。SourceForge那种模式——靠广告和捆绑赚钱——已经不太行了。但集中也有集中的问题：万一GitHub哪天改政策，或者被墙，整个生态都会受影响。所以多存几个镜像站的地址，没坏处。