开源协议风险：企业在用，但并不了解

我们评审过一些企业的项目，抽查依赖清单发现：有企业在商业产品里用了 GPL 协议的组件，还有企业使用的开源库已经三年没有维护。开源节省了开发成本，也带来了被忽视的义务。

常见的几类风险

传染性协议。GPL/AGPL 类协议要求衍生作品也以相同协议开源，用在闭源商业产品里可能构成违约。

维护停滞。依赖的库长期无人维护，安全漏洞不再修复，升级路径断裂。

来源不明。从论坛或网盘下载的代码片段，没有明确授权信息，风险无法评估。

能做的几件事

建立依赖清单，扫描工具自动生成，每次发版更新，标注每个依赖的协议类型。

明确红线：AGPL 组件不得进入核心业务代码；不明确授权的代码一律不用。

对关键依赖做年检：近期提交频率、已知漏洞、是否有可替代方案。

开源不是免费午餐，而是有条件的共享。把协议义务当成合同条款对待，用起来才踏实。