张野是蹲在马桶上看完那封邮件的。
凌晨三点，手机震了一下。英文，抬头写着 Dear Mr. Zhang。他英语底子差，翻译软件来回翻了三遍，才大概明白意思：你卖的那套刷脸考勤系统，用的是我们家的开源库。改过了，没开源，还收钱了。AGPL。
他点根烟。三个人，一间在余杭的民房，六所县城小学，一学期一个孩子收六十块人脸录入费。一年流水不到八十万。他从来没想过“开源”这俩字能跟“违约”沾边。开源嘛，不就是白给的。
三行代码、四千块外包，和六所小学
事情得从两年前说。
张野想做校园考勤，自己不会写算法。在猪八戒上挂了个单，四千块，要求“能识别人脸，能对接微信小程序”。接单的是个在郑州的小伙，三天交付。张野后来才知道，那小伙干的事很简单——从 GitHub 上扒了个国外的开源人脸识别库，删掉作者署名，加了个阈值参数，Docker 打个包，完事。
郑州小伙拿钱走人。张野拿着这套东西，签了六所小学。
温州那边一所学校，早上七点半，家长把孩子送到门口，孩子往摄像头前一站，闸机开了。李姐就是其中一个妈。她扫码交了钱，坐在家里用手机对着孩子拍了三张照片，上传。系统说录入成功。她也不知道那几张照片存在哪儿。她也从没听说过什么 AGPL。说实话，她不关心。
但她的脸，跟那封凌晨三点的邮件，其实隔了三层——开源库作者、郑州小伙、张野。一层都没打招呼。
“毒丸”这词，真是拿来吓人的吗
不是。
开源许可证不是只有一种。MIT、Apache 2.0 这类，你拿去改成啥样都行，闭源卖钱也没人管你。但 GPL 不一样——你分发了软件，就得把你的修改也开源。
AGPL 更狠。就多了一个字母，多了一条规矩：你不用把软件分发出去，只要别人通过网络跟你这个软件打交道，你就得给源码。
张野踩的就是这个坑。他没卖安装包，他是 SaaS，用户打开小程序就跟他服务器通信。这恰恰是 AGPL 专门堵的那条路。说白了两句话：你用可以。你改了再收钱还藏着掖着，不行。
这套逻辑国内法院早认了。
数字天堂诉柚子科技那个 HBuilder 案，北京那边判下来，GPL 协议被当作有效的著作权许可。深圳的罗盒诉玩友，VirtualApp 那个，也是。判决书里写得挺朴素：开源协议是合同，违反了，绕回著作权法处理。看着简单，背后开了好几次庭，法官得先弄明白什么叫“分发”，什么叫“网络交互”——这些词在传统著作权案子里基本见不着。
盯上你的，八成不是原作者
这事最让张野懵的地方在这儿：发函的人，他不认识。
那套库的作者是个柏林的独立开发者，叫 Jonas，一个人维护，靠 GitHub Sponsors 收点捐款，一年也就几千欧。真正给张野发律师函的，是慕尼黑一家做开源合规代理的公司。他们爬 GitHub，比对代码指纹，扫全球 App 和 SaaS，找到混进去的 GPL/AGPL 代码，就发函。谈和解，分成。这套生意在欧洲已经挺成熟。
国内也有苗头。几家人力合规公司、律所开始接这类单子，还有卖 SCA 工具的——软件成分分析，扫一遍你的代码库，列出来哪些模块带什么许可证、有没有风险。
大厂早就在做这套。字节、腾讯内部都有开源合规岗。小公司？根本不知道有这玩意儿。
Jonas 本人在邮件里其实没提钱。他问了三件事：系统用在哪，数据存在哪，能不能看看改过的代码。倒是那家代理公司，报价单开得比 Jonas 狠多了。
删库、换库、装死，还有一小撮真去开源的
收到函的人，反应五花八门。
有的连夜 git rm，把 jar 包从构建产物里剔掉。可问题是，已经跑在线上的版本删不干净，用户还在用，日志还在打。删了个寂寞。
有的换成 Apache 2.0 的库，功能差一截，识别率掉七八个点，学校老师天天投诉孩子刷不进去。最后又换回来。
有的干脆装死。邮件不回，电话不接，赌对方懒得跨国打官司。有的赌赢了，有的赌输了——真被起诉的公司，赔的钱比当初写代码贵几百倍。
还有一小撮，真把改动开源了。挂在 Gitee 上，加个中文文档，反而接到几个同行来问能不能商用。挺讽刺的，本来怕开源丢客户，结果开源了有客户。
张野没请律师。他自己回了邮件，英文写得磕磕巴巴，说了三句：愿意开源，但给三个月缓冲，因为六所学校还在用。Jonas 回了个 OK。还好心问了一句，系统给谁用。张野说，小学。Jonas 说，那我帮你补一条数据本地化的说明，别让孩子照片乱跑。
就这么，一件差点上法庭的事，变成了一次合并请求。
法律在这块地上，其实也还在学走路
说句实在的，GPL 违约在国内判起来，挺别扭。
它不是那种一眼能看出是非的案子。协议是英文的，条款是几十年社区一点点磨出来的，法官得先翻译，再理解，再往现行著作权法上套。AGPL 那条“网络交互即触发”的规则，别说普通小老板，很多执业十几年的律师第一次看也愣一下。
而被告那头，往往就是张野这种人。三个人的公司，一年做几十万，看不懂英文协议，也请不起合规团队。他不是故意耍赖，他压根不知道规则长什么样。
所以你会看到一些很真实的痕迹——有的小老板开始让外包在交付清单里写清楚：这个图库什么协议，那个组件什么协议。张野现在也这么干。他说他不识字，但认那几个字母：MIT、Apache、GPL、AGPL。像认草药。
李姐还是不知道自己的脸存在哪。但她家孩子那所学校，后来悄悄改了部署方式，人脸数据留在校园局域网里，不出去了。没人通知她。也没人收她钱。
变化就是这么发生的。不是从一份政策文件开始，是从一封凌晨三点、翻译软件都翻不利索的邮件开始。规则在一片陌生的地上长出来，法院、原作者、小老板、还有那个扫码交了六十块的妈妈，所有人都在一边试探一边往前挪。慢，乱，但真的在走。
