【开源许可与版权工程】开源许可证实操手册：从选型到发布
面向工程团队的开源许可证完整操作手册：许可证选型决策树、LICENSE/NOTICE/SPDX 文件写法、第三方依赖声明、CI 自动化检查、发布物合规标注，以及六套真实可复制的项目结构模板。
compliance 标签归档
共 9 篇文章 · 返回首页
【开源许可与版权工程】闭源项目如何选择开源依赖：公司内部合规实操
面向做闭源/商业产品的团队：逐一拆解 MIT、LGPL、GPL、AGPL、SSPL、BSL 在 SaaS、私有化部署、移动 App、嵌入式固件等形态下的许可边界，给出三级名单模板、CI 扫描配置、SBOM 存证方案与出海补充要求。
开源许可与版权工程
面向中国工程团队的开源许可、版权与合规系列。从 GPL、AGPL、Apache、木兰协议到中国真实案例、SCA/SBOM 工具链与出海合规，讲清楚开源在工程落地中的坑与方法。
【开源许可与版权工程】红芯浏览器与「国产内核」往事：披皮事件的工程复盘
2018 年 8 月，红芯浏览器在完成 2.5 亿元融资后被发现基于 Chromium 换皮。本文从工程角度复盘这一事件：Chromium BSD-3 协议本身允许什么、不允许什么，如何通过文件指纹识别 Chromium 魔改，以及深度 Deepin、统信 UOS、麒麟 Kylin、中科曙光等国产系统的开源合规现状。
【开源许可与版权工程】中国 GPL 诉讼第一案系列：数字天堂、不乱买、罗盒
数字天堂 vs 柚子科技（2019）、不乱买案（2018）、罗盒 vs 玩友（2019–2020）——这批中国 GPL 诉讼案件厘清了 GPL 作为合同在中国法律框架下的效力，以及违反 GPL 的法律后果。本文梳理案件脉络、判决核心争议与工程合规启示。
【开源许可与版权工程】GPLv2、GPLv3、LGPL：Linux 内核为什么停在 v2
深入解析 GPLv2 到 GPLv3 的条款变化、Tivoization 反规避与 DRM 条款、专利终止条款；LGPL 链接例外的工程边界；以及 Linus Torvalds 拒绝升级到 v3 的真实原因与嵌入式生态影响。包含路由器厂商、国内 Android 设备的 GPL 合规真实案例。
【开源许可与版权工程】SCA、SBOM 与软件成分分析：FOSSA、BlackDuck、Syft、OSS Review Toolkit
软件成分分析（SCA）与软件物料清单（SBOM）的工程落地指南：SPDX、CycloneDX 格式详解，商业与开源工具对比，美国 EO 14028、欧盟 CRA、中国等保 2.0 合规要求，以及从引入 Syft 到接入策略网关的实施路径。
【开源许可与版权工程】企业开源办公室（OSPO）与开源 PMO 建设
从 TODO Group 定义出发，拆解 OSPO 的职责矩阵、中国大厂实践（华为、阿里、腾讯、字节跳动）、最小可行 OSPO 模型与成熟度路径，给出不同规模企业的落地方案。
【身份与访问控制工程】PAM、IGA 与审计合规
系统梳理特权访问管理（PAM）、身份治理（IGA）与审计留痕的工程化落地：从凭证金库、JIT 访问、会话录制，到访问复核、职责分离、不可篡改日志、SOX/HIPAA/PCI-DSS/ISO 27001/等保三级合规映射，以及 CyberArk、Teleport、Vault、StrongDM 的产品选型与最小闭环。