【开源许可与版权工程】闭源项目如何选择开源依赖：公司内部合规实操
内容提要
本文探讨了闭源商业产品合法使用开源库的合规问题，特别是GPL和AGPL许可证的要求。强调闭源产品在分发时需遵循开源许可证条款，以避免法律风险。提供许可证分类、合规矩阵及常见场景分析，帮助企业理解开源依赖的使用限制。建议企业建立内部审批流程，确保开源组件的合规性，防止因许可证问题造成商业损失。
关键要点
-
闭源产品在使用开源库时必须遵循开源许可证条款，以避免法律风险。
-
开源许可证的约束不取决于源代码是否公开，而是看是否将受许可证约束的软件分发给第三方。
-
闭源产品触发许可证义务的主要场景包括对外发布二进制、客户现场部署和SaaS服务。
-
在尽调中，开源合规问题越来越常见，常见的风险包括GPL/AGPL污染、缺乏SBOM、协议改版被忽视等。
-
开源许可证可分为绝对安全、动态链接安全、内部使用安全和网络Copyleft等类别，企业需根据产品形态选择合适的许可证。
-
建议企业建立内部审批流程，确保开源组件的合规性，防止因许可证问题造成商业损失。
-
企业在引入新依赖时应进行许可证合规检查，包括检查许可证类型、确认链接方式和更新SBOM等。
-
出海产品需关注额外的合规审计要求，包括美国出口管制和欧盟网络安全法案等。
延伸问答
闭源产品如何合法使用开源库？
闭源产品在使用开源库时必须遵循开源许可证条款，尤其是GPL和AGPL，以避免法律风险。
什么情况下闭源产品会触发开源许可证义务？
闭源产品在对外发布二进制、客户现场部署和SaaS服务时，会触发开源许可证义务。
企业如何确保开源组件的合规性？
企业应建立内部审批流程，进行许可证合规检查，确保开源组件符合相关许可证要求。
开源许可证的分类有哪些？
开源许可证可分为绝对安全、动态链接安全、内部使用安全和网络Copyleft等类别。
出海产品需要注意哪些合规审计要求？
出海产品需关注美国出口管制和欧盟网络安全法案等额外的合规审计要求。
如何避免GPL/AGPL污染的风险？
企业应在尽调中提供完整的SBOM，确保不使用GPL/AGPL组件，或在使用时进行严格的架构隔离。
