上个月在国贸楼下碰一个做跨境SaaS的小兄弟，坐下来咖啡刚喝一口，他就掏出手机给我看律师函，指尖都抖。“哥，我是不是要赔得倾家荡产？”
他说两年前创业没钱买付费工具，扒了GitHub上一个开源的汇率转换工具改了改，直接塞进自己的付费产品里了，当时看协议是MIT，以为就是免费随便用，谁知道人原作者要求保留版权声明，他全删了，现在人家找上门，索赔五十万。
开源不是免费馅饼，是带条件的“借”
很多人对开源的误解就深了去了。觉得上传到GitHub就是给大家白嫖的，想用就用，想改就改，想拿来赚钱就赚钱。
哪有这么好的事？任何开源协议，本质都是授权合同。你同意条件才能用，不同意就别碰。有人说不就是个声明吗？又没签字，不算数？错，法院不认这个。你用了代码，就等于默认接受了协议条款，合同就成立了。
GPL协议最严，只要你把GPL的代码整合进你的产品，哪怕只用了一百行，你整个产品的源代码都得开源，你闭源商用就是百分百违约。MIT宽松吧？也要求你保留原作者的版权声明，不能删了就当自己的。那个小兄弟就是栽在这一步。删了声明，还商用，不是违约是什么？
别拿“小公司”当挡箭牌，现在维权早就是常态了
说实话，五年前确实少，那时候国内做开源的少，也没人专门维权，很多人用了也就用了，没人找。
现在不一样了。国内做开源的公司越来越多，不少拿到融资了，本身就是靠卖商业授权赚钱，你不遵守协议白嫖，那就是动了人家饭碗，人家当然跟你没完。去年我接触过一个案例，国内三十多家中小公司，因为用了FFmpeg没遵守LGPL协议，全都被告了，最少的赔了三万，最多的赔了一百多万。
有个做开源运维工具的朋友跟我唠，他现在专门雇了一个小朋友，每个月就搜GitHub、搜各大应用商店，找侵权用他代码的公司，半年下来，收到的赔偿和授权费有小一百万，比他自己卖产品赚的还多。
别骂人家矫情，他自己一个人前后写了三年，投入了几十万的时间成本，凭什么别人拿过去改个皮就赚几百万？对吧？
很多小创业者一开始觉得自己体量小，没人会注意到你。等你融到资，做起来了，人家长枪短炮就来了。现在代码比对工具多先进啊，爬一下你的产品，反编译一下，分分钟就能找出你抄的开源代码，跑都跑不掉。
真踩了坑，该怎么给自己兜底？
很多人一收到律师函就慌，要么跑路要么拉黑，其实没必要。先搞清楚两件事：第一，你用的代码是不是真的归原作者所有？第二，你到底违反了协议哪一条？
很多时候，作者就是想要个署名，或者要一笔合理的授权费，真不是要把你搞死。那个找我帮忙的小兄弟，最后律师帮着谈，赔了八万，买了永久商业授权，补上了版权声明，这事就结了。
不过话说回来，最好的办法还是别踩坑。所有公司，不管大小，只要用到开源组件，一定要做全链路的合规梳理。搞一个完整的软件物料清单，每个组件来自哪，是什么协议，有没有符合要求，定期扫一遍。现在也有很多工具能自动扫，花不了几个钱，总比出事了赔几十万强。
你说我就是小团队，没钱做合规？那你用之前花十分钟看看协议总可以吧？别上来就复制粘贴，当人家的东西是无主的。
现在开源已经是所有互联网公司的基础设施了，没人能离开开源。但规则也在慢慢变，以前那种“捡到篮子就是菜”的日子，已经过去了。软件开源协议违约，不再是远在硅谷的新闻，就是摆在你我面前的事。
那个小兄弟现在逢人就说，千万不要随便拿别人的开源代码改改就卖钱，省那点小钱，不够赔的。
真的，别侥幸。
