共计 3286 个字符，预计需要花费 9 分钟才能阅读完成。
因为咱们自身也在做开源，所以比拟关注这个问题，最近因为工作须要，总结和剖析了一下对于开源许可证相干的常识，也分享给大家一起探讨，心愿失去大家的领导。
前言
2021 年 12 月，抖音海外版 TikTok 上线了一款名为 TikTok Live Studio 的 APP，但不久其下载页面就被删除。TikTok 官网对此事做出回应，起因是该 APP 违反 GPL 许可证，其应用 GPL 许可证下的开源软件源码，却没有依照 GPL 许可证要求开源。
随着开源软件的倒退，其数量和影响力在一直的回升。开源软件具备成本低、升级快的特点，因而越来越多的企业抉择应用开源软件。然而“天下没有收费的午餐”，在开源许可证的束缚下，开源软件的应用并非设想中的自在。不恰当地应用开源软件，可能会给企业造成负面舆论甚至经济损失的危险。
开源许可证（“Open Source License”）是什么
开源许可证是一种针对开源软件使用者的束缚，目标在于标准受著作权爱护的软件的应用或者散发行为。
常见许可证及其差别
常见的许可证次要有 GPL、LGPL、AGPL、MPL、MIT、BSD 和 Apache，各个许可证还蕴含不同版本。依据应用条件不同，能够将这些许可证大抵分为两类：Copyleft 许可证和宽松许可证（permissive license），次要对应用、批改和散发的场景作出相应束缚。
1.BSD 许可证——特点是能够自在应用、批改、再公布。然而在商用或者集体散发过程中必须带有原来代码的许可证，且不能用原作者相干信息去做宣传。
2.MIT 许可证——源自麻省理工学院（Massachusetts Institute of Technology, MIT），是应用最宽泛的一种开源许可证。其特点和 BSD 许可证相似，只有在我的项目的所有正本中蕴含版权申明和许可申明，就无需承当任何责任。
3.Apache 许可证——作为 permissive license 中的一员，Apache 多了几个限度条件，禁止应用其商标与作者的相干信息进行商业行为，必须明确指出所有批改过的文件。
4.GPL 许可证—— GPL 和 BSD 区别还是很大的，GPL 主张代码及衍生代码的开源，不容许批改后和衍生的代码做为闭源的商业软件进行公布和发售。如果已公布商业软件源码里含有 GPL 开源软件源码，则必须对该商业软件进行开源或者下架解决。
5.AGPL 许可证—— AGPL 是 GPL 的一个补充, 在 GPL 的根底上加了一些限度。GPL 的束缚失效前提是该软件 ” 公布 ”，有的公司就应用 GPL 组件编写 web 零碎，然而不公布零碎，只用这个零碎在线提供服务，这样就防止了开源零碎代码。而 AGPL 要求如果云服务 (即 saas) 用到的代码是该许可证，那云服务的代码也必须开源。
6.LGPL 许可证—— LGPL 容许商业软件通过类库援用的形式应用 LGPL 类库，而不须要开源商业软件源码。
7.MPL 许可证——在商业软件中，如果含有 MPL 许可证的代码在独自的文件内，其余新增的文件就能够防止开源。
咱们针对 C/C++、Java 两类罕用编程语言的开源组件许可证散布进行统计，能够发现：
- C/C++ 中次要应用 MIT、BSD、Apache 许可证，GPL/LGPL 约占 16%，整体应用更严格
- Java 中次要应用 Apache、MIT 许可证，GPL/LGPL 占比约 1%，整体应用更宽松
开源许可证在标准化
SPDX 是 Linux 基金会推出的用于交换软件资料清单信息的凋谢规范，SPDX 以后曾经对超过 400 个开源许可证的名称、标识符等信息进行标准化，并在继续更新。
SPDX 还给出了开源许可证的匹配指南，激励开发者在代码中退出诸如 SPDX-License-Identifier: MIT 的简短标识。
能够预感，将来开源许可证将变得更规范，更容易被机器辨认解决。
开源合规危险
2008 年，美国联邦巡回上诉法院首次在 Jacobsen v.Katzer 一案中主张了开源许可证的著作权效劳。中国在 2019 年的「柚子案」中默认了 GPL 许可证的法律效力。相干判例的产生，意味着开源许可证不再是君子协定，违反开源许可证会对企业带来经济和名誉上的损失。
如 GPL 许可证和 MPL 许可证，GPL 许可证要求「用户应用该许可证下的源码，必须以 GPL 许可证的许可公布整个程序的源码」，而 MPL 则要求「MPL 许可证的代码在独自的文件内，其余新增的文件就能够防止开源。」因而企业在应用同时附带 GPL 和 MPL 许可证的开源软件时，就可能因为开源许可证的抵触，面临违反其中之一的危险。
国内外的相干案例
一、2019 年，在数字地狱北京网络技术有限公司 诉 柚子北京科技有限公司的案件中，柚子北京 因为开发人员在 2015 年应用了 数字地狱 的 HBuilder 软件工具中三款插件的局部源代码，未恪守开源软件许可证，将具备开源要求的软件产品作为商业产品，被开源软件的著作权人诉请守约和侵权，故而承当法律责任。
二、2021 年 4 月 30 日，罗盒公司状告风灵公司侵权获赔 50 万元，同时要求风灵公司进行侵权行为。
在该案件中被告罗盒公司，独立开发“罗盒 (Virtual App) 插件化框架虚构引擎零碎 V1.0”（简称 VirtualApp V1.0），在 2016 年引入 GPL3.0 许可证，于 2017 年获得计算机软件著作权注销证书，且申明
用于商业用途请购买商业受权。
2018 年被告发现名为“点心桌面”的软件应用了 VirtualApp V1.0 的代码，通过源码剖析比照，发现两者之间高度类似，遂起诉原告福建风灵公司。
经法院审判原告抵偿被告为禁止侵权行为而收入的正当费用 50 万元。此次裁决是中国首个明确 GPL3.0 许可证具备法律效力的案例。
三、2021 年 12 月中旬，抖音海外版 TikTok 上线一款名为 TikTok Live Studio 的 APP，有网友发现，此软件违反 GPL 许可证，违规应用开源软件 OBS（一个收费的开源视频录制和视频实时流软件，且容许任何人收费利用和商用）的源代码，既然容许商用，然而为什么还会被曝违规呢？
这里就须要再科普一下 GPL 许可证，GPL 许可证具备很强的传染性，如果一款软件应用 GPL 许可证的开源软件源码，那么该软件也必须采纳 GPL 许可证，进行开源。
此事曝光之后，OBS 开发者证实此事，TikTok 也对此事进行了回应，并删除 TikTok Live Studio 的下载页面。
针对开发者 / 企业的倡议
舒适揭示：开源千万条，合规第一条
一、软件开发者应用开源软件时，须要审慎抉择开源软件，关注其开源许可证的内容及相干条件，防止潜在的法律危险。
二、企业该当建设一个欠缺机制，辨认企业中所应用的开源软件清单，明确对应的开源许可证及权力束缚，及时躲避相干合规危险。
三、通过隔离机制防止开源许可证传染，如对于 MPL 许可证下代码的应用，应把该许可证的代码放在独自的文件内防止许可证传染；LGPL 下的代码，可采纳动静链接调用该许可证的库实现隔离。
解决方案：借助 murphysec 的开源工具来解决这类危险
咱们在开源工具外面集成了开源许可证的合规检测能力
开源我的项目地址：https://github.com/murphysecurity
一、应用 murphysec 开源工具扫描您的代码目录，它会帮您一键辨认进去您的代码我的项目中应用的所有开源组件，包含间接依赖和间接依赖的组件清单，同时列出所有组件对应的开源许可证信息
二、查看报告，依据报告的提醒能够明确看到对应组件的许可证在什么场景下存在许可证合规危险
三、您能够依据许可证的合规危险提醒，来判断您的我的项目是否存在违反的可能性，并调整您所引入的组件，来解决这个危险。
一些可能你无心中踩到的坑：
1）有一些组件是存在多种许可证的，可能不同目录文件指定的许可证类型不一样，要特地留神，当然咱们的开源软件也思考到了这种状况
2）有些组件你没有间接依赖，然而可能存在间接依赖的状况，你须要特地留神查看相干组件的依赖关系
应用文档：https://www.murphysec.com/docs/
参考链接
https://spdx.org/licenses/
https://opensource.org/licenses/category
