夜雨聆风
很多技术总监以为，用开源就是免费的午餐。直到收到律师函，才知道这顿饭可能要用整个公司的知识产权来买单。
上周处理一个案子，客户做AI训练平台，用了某个GPL协议的开源框架。产品上线半年，被开源社区发函要求公开全部源代码。客户急了："我只是用了他们的框架，凭什么要我开源全部代码？"
我说："因为GPL协议有传染性。你用了它的代码，你的代码也得开源。"
一、GPL协议：开源界的"病毒"
GPL（GNU通用公共许可证）有个外号叫"病毒许可证"。为什么？
因为它有"传染性"。简单说：如果你的产品用了GPL协议的代码，哪怕只用了很小一部分，你的整个产品都要按照GPL协议开源。
我见过最夸张的案例：一家公司用了GPL协议的图片处理库，只是调用了几个函数。开源社区要求他们开源整个图像处理引擎，包括他们自研的核心算法。
公司不服，打官司。法院判决：必须开源。理由：GPL协议的核心是"Copyleft"，不是"Copyright"。你用了我开源的代码，你的衍生作品也要开源。
二、Apache协议：相对温和的"朋友"
相比GPL，Apache协议温和得多。核心区别：
可以闭源：用了Apache协议的代码，你的产品可以闭源
要保留声明：必须保留原作者的版权声明
专利授权：如果原作者有相关专利，自动授权给你使用
但Apache协议也有风险。
我处理过一个案子：客户用了Apache协议的机器学习库，在产品说明里写了"基于XXX库开发"。原作者起诉，说"基于"这个词暗示了背书关系，要求删除。
最后调解：把"基于XXX库开发"改成"使用了XXX库的部分代码"。
一字之差，法律性质完全不同。
三、MIT协议：最自由的"情人"
MIT协议是限制最少的开源协议。基本上就一句话："随便用，出问题别找我。"
但"随便用"不等于"随便改"。
常见误区：把MIT协议的代码改了，然后说这是自己的原创。
风险：原作者可能起诉你侵犯署名权。
我建议：即使用MIT协议的代码，也要在注释里写明来源。这不是法律要求，是职业道德。
四、商业使用边界：开源与闭源的"防火墙"
很多公司做"混合模式"：核心代码闭源，外围组件开源。但这道"防火墙"怎么建，很有讲究。
错误做法：闭源模块直接调用开源模块
风险：可能触发GPL传染性
案例：某公司用GPL协议的数据库驱动，闭源业务系统直接调用，被要求开源整个系统
正确做法：通过API隔离
1.开源组件作为独立服务运行
2.闭源系统通过HTTP/RPC等标准协议调用
3.数据交换用JSON/Protobuf等通用格式
4.避免内存直接共享、二进制依赖
物理隔离 > 逻辑隔离 > 代码隔离
五、修改代码的义务：改了就要开源
很多人不知道：修改开源代码，有开源义务。
具体分三种情况：
情况一：bug修复
修改了开源代码的bug
义务：建议提交给原项目，但不是必须
风险：如果不提交，下次更新可能冲突
情况二：功能增强
给开源代码加了新功能
义务：如果基于GPL，必须开源修改后的代码
时限：通常要求产品发布时同步开源
情况三：集成修改
把多个开源项目集成在一起
义务：需要开源整个集成方案
案例：某公司把A项目的UI+B项目的逻辑集成，被要求开源整个集成代码
六、代码审计：上线前的"体检"
我的建议：产品上线前，做一次开源代码审计。
审计内容：
许可证识别：每个第三方库是什么协议
依赖分析：间接依赖也要查
使用方式：怎么用的，有没有触发传染性
冲突检测：不同许可证之间有没有冲突
工具推荐：
FOSSA：专业的开源合规平台
Black Duck：企业级解决方案
自研脚本：用`license-checker`等工具自动化
审计时机：
产品发布前
每季度例行检查
融资尽调时
被收购前
七、风险管理：被起诉了怎么办
万一收到开源社区的律师函，别慌。按以下步骤处理：
第一步：暂停使用
立即停止使用涉嫌侵权的代码
避免继续侵权，加重责任
第二步：内部调查
查清楚：用了什么代码、怎么用的、用了多久
评估：侵权的性质和严重程度
第三步：律师介入
找专业的知识产权律师
分析：是技术误解还是确实侵权
制定：应对策略（谈判、和解、诉讼）
第四步：解决方案
如果确实侵权：
1.删除侵权代码（技术可行的话）
2.购买商业许可证（如果提供）
3.开源相关代码（符合协议要求）
4.赔偿损失（协商金额）
八、最佳实践：安全使用开源
基于多年经验，总结几条最佳实践：
1.建立白名单：只允许使用经过审核的开源项目
2.文档化管理：每个第三方库都要记录：名称、版本、许可证、用途
3.定期更新：及时更新到最新版本，修复安全漏洞
4.贡献策略：明确员工贡献开源项目的流程和权限
5.培训教育：定期对研发团队进行开源合规培训
开源是双刃剑。用好了，能加速产品开发；用不好，可能赔上整个公司的知识产权。
给技术负责人一句忠告：开源合规不是法务的事，是每个程序员的事。写代码前，先看看许可证。
不懂许可证的程序员，就像不懂交通规则的司机。早晚要出事。
最后，你怎么看待GPL协议是开源界的"病毒"这种说法？欢迎关注、留言、分享。
