1.
Не вижу в пункте 1 ничего плохого.
Если проект серьезный, то разработчики должны хотя бы подписываться с использованием PGP.
А для того чтобы это было не "васян знает васяна который с васяном пили пиво в одном баре", нужно хотя бы один раз встретится лично.

2.
У корпов такая ситуация может случиться реже, тк у них сотрудники с галеры и подотчетные.
Если к условному гуглу придут копы со словами "ваш сотрудник внедрил бекдор", то они его выдадут с потрохами и будут правы.