前言

2021年12月，抖音海外版TikTok上线了一款名为TikTok Live Studio的APP，但不久其下载页面就被删除。TikTok官方对此事做出回应，原因是该APP违反了GPL许可证，其使用了GPL许可证下的开源软件源码，却没有按照GPL许可证要求开源。

随着开源软件的发展，其数量和影响力在不断的上升。开源软件具有成本低、升级快的特点，因此越来越多的企业选择使用开源软件。但是“天下没有免费的午餐”，在开源许可证的约束下，开源软件的使用并非想象中的自由。不恰当地使用开源软件，可能会给企业造成负面舆论甚至经济损失的风险。

开源许可证（“Open Source License”）是什么

开源许可证是一种针对开源软件使用者的约束，目的在于规范受著作权保护的软件的使用或者分发行为。

常见许可证及其差异

常见的许可证主要有GPL、LGPL、AGPL、MPL、MIT、BSD和Apache，各个许可证还有不同的版本。根据使用的条件不同，可以将这些许可证大致分为两类：Copyleft 许可证和宽松许可证（permissive license），主要对使用、修改和分发的场景作出相应约束。

1.BSD许可证——特点是可以自由使用、修改、再发布。但是在商用或者个人分发过程中必须带有原来代码的许可证，且不能用原作者相关信息去做宣传。

2.MIT许可证——源自麻省理工学院（Massachusetts Institute of Technology, MIT），是使用最广泛的一种开源许可证。其特点和BSD许可证类似，只要在项目的所有副本中包含版权声明和许可声明，就无需承担任何责任。

3.Apache许可证——作为permissive license中的一员，Apache多了几个限制条件，禁止使用其商标与作者的相关信息进行商业行为，必须明确指出所有修改过的文件。

4.GPL许可证——GPL和BSD区别还是很大的，GPL主张代码及衍生代码的开源，不允许修改后和衍生的代码做为闭源的商业软件进行发布和出售。如果已发布商业软件源码里含有GPL开源软件源码，则必须对该商业软件进行开源或者下架处理。

5.AGPL许可证——AGPL是GPL的一个补充, 在GPL的基础上加了一些限制，其目的是为了Copyloft条款应用于在网络上运行的应用程序(如web程序)，从而避免有人(这里的人可以指个人或组织)以应用服务提供商方式逃避GPL许可证。而AGPL要求网络服务器的运营商向该服务器的用户提供运行在那里的修改版本的源代码。

6.LGPL许可证——LGPL允许商业软件通过类库引用的方式使用LGPL类库，而不需要开源商业软件源码。

7.MPL许可证——在商业软件中，如果含有MPL许可证的代码在单独的文件内，其他新增的文件就可以避免开源。

我们针对C/C++、Java两类常用编程语言的开源组件许可证分布进行统计，可以发现：

• C/C++中主要使用MIT、BSD、Apache许可证，GPL/LGPL约占16%，整体使用更严格

• Java中主要使用Apache、MIT许可证，GPL/LGPL占比约1%，整体使用更宽松

C/C++语言开源组件所用许可证统计：

Java语言开源组件所用许可证统计：

开源许可证在标准化

SPDX 是Linux基金会推出的用于交流软件材料清单信息的开放标准，SPDX当前已经对超过400个开源许可证的名称、标识符等信息进行标准化，并在持续更新。

SPDX还给出了开源许可证的匹配指南，鼓励开发者在代码中加入诸如SPDX-License-Identifier: MIT的简短标识。

可以预见，未来开源许可证将变得更标准，更容易被机器识别处理。

开源合规风险

2008 年，美国联邦巡回上诉法院首次在Jacobsen v.Katzer一案中主张了开源许可证的著作权效力。中国在2019年的「柚子案」中默认了GPL许可证的法律效力。相关判例的产生，意味着开源许可证不再是君子协定，违反开源许可证会对企业带来经济和声誉上的损失。

如GPL许可证和MPL许可证，GPL许可证要求「用户使用该许可证下的源码，必须以GPL许可证的许可发布整个程序的源码」，而MPL则要求「MPL许可证的代码在单独的文件内，其他新增的文件就可以避免开源。」因此企业在使用同时附带GPL和MPL许可证的开源软件时，就可能因为开源许可证的冲突，面临违反其中之一的风险。

国内外的相关案例

一、2019年，在数字天堂北京网络技术有限公司 诉 柚子北京科技有限公司的案件中，柚子北京 由于开发人员在2015年使用了 数字天堂 的 HBuilder 软件工具中三款插件的部分源代码，未遵守开源软件许可证，将具有开源要求的软件产品作为商业产品，被开源软件的著作权人诉请违约和侵权，故而承担法律责任。

二、2021 年 4 月 30 日，罗盒公司状告风灵公司侵权获赔 50 万元，同时要求风灵公司停止侵权行为。

在该案件中原告罗盒公司，独立开发“罗盒(Virtual App)插件化框架虚拟引擎系统 V1.0”（简称VirtualApp V1.0），在2016年引入GPL3.0 许可证，于2017年取得计算机软件著作权登记证书，且声明

用于商业用途请购买商业授权。

2018年原告发现名为“点心桌面”的软件使用了VirtualApp V1.0 的代码，经过源码分析对比，发现两者之间高度相似，遂起诉被告福建风灵公司。

经法院审判被告赔偿原告为制止侵权行为而支出的合理费用50万元。此次判决是中国首个明确 GPL3.0 许可证具有法律效力的案例。

三、2021年12月中旬，抖音海外版TikTok上线了一款名为TikTok Live Studio的APP，有网友发现，此软件违反了GPL许可证，违规使用了开源软件OBS（一个免费的开源视频录制和视频实时流软件，且允许任何人免费应用和商用）的源代码，既然允许商用，但是为什么还会被曝违规呢？

这里就需要再科普一下GPL许可证了，GPL许可证具有很强的传染性，如果一款软件使用了GPL许可证的开源软件源码，那么该软件也必须采用GPL许可证，进行开源。

此事曝光之后，OBS开发者证实了此事，TikTok也对此事进行了回应，并删除TikTok Live Studio的下载页面。

针对开发者/企业的建议

温馨提醒：开源千万条，合规第一条

一、软件开发者使用开源软件时，需要谨慎选择开源软件，关注其开源许可证的内容及相关条件，避免潜在的法律风险。

二、企业应当建立一个完善机制，识别企业中所使用的开源软件清单，明确对应的开源许可证及权利约束，及时规避相关合规风险。

三、通过隔离机制避免开源许可证传染，如对于MPL许可证下代码的使用，应把该许可证的代码放在单独的文件内避免许可证传染；LGPL下的代码，可采用动态链接调用该许可证的库实现隔离。

参考链接

https://spdx.org/licenses/

https://opensource.org/licenses/category

附录（备用）

许可证种类	是否需要在源码里包含原有许可证	是否允许商业使用	是否允许修改再发布	修改后源码是否需要开源
BSD	是	是(不能用原作者相关信息进行宣传)	是	否
MIT	是	是	是	否
Apache	是	是(禁止使用其商标与作者的相关信息进行商业行为)	是	否
GPL	是	是(商用代码要公开)	是	只要源码中使用GPL许可证的开源软件源码，不论多少，都需要开源。
LGPL	是	是	是	若用户只是对LGPL软件的程序库进行调用而不是包含其源码时，则无需开源；反之，包含源码就需要开源。
Mozilla(MPL)	是	是	是	把含有MPL许可证的代码放在单独的文件里，只需要开源这个文件，其他新增的文件无需开源

AGPL

AGPL要求网络服务器的运营商向该服务器的用户提供修改版本的源代码