1. 课程导入与全景认知
当一家企业决定把自己的代码放到 GitHub、GitLab 或某个基金会仓库中时，它做的远不只是一次"代码上传"。这个动作同时触发了三条并行的链路：技术链路（代码被谁使用、如何被集成）、法律链路（许可证如何约束使用与再分发）、社区链路（贡献者身份、治理规则、声誉与话语权）。三条链路彼此耦合，任何一条断裂都可能让一次看似普通的开源行为演变为合规事故或商业损失。本课程的目标，就是帮助研发、法务、开源办公室（OSPO）与管理者建立一套可落地的实务框架，把"能不能开源""怎么开源""开源之后怎么管"变成可判断、可执行、可复盘的日常工作。
一、企业为什么要做开源贡献
企业参与开源通常有四类动机，它们决定了后续的投入方式与合规尺度。第一类是成本与效率：使用成熟开源组件替代自研，缩短交付周期，同时通过向上游提交补丁避免长期维护私有分支。第二类是生态与标准：把接口、协议或工具开源，吸引上下游适配，形成事实标准。第三类是人才与品牌：公开的贡献记录是工程师能力的外部凭证，也是企业技术品牌的载体。第四类是合规与风险对冲：主动参与上游治理，能在许可证变更、安全漏洞披露等事件中获得更早的信息与更强的影响力。
需要强调的是，这四类动机对应的"贡献深度"并不相同。仅使用开源组件（消费者）与向上游提交代码（贡献者）与主导一个开源项目（维护者/治理者），在法律责任、流程成本和资源投入上差异巨大。课程后续章节会分别展开，本节先建立全景坐标。
二、风险从哪里来：四类典型暴露面
企业开源风险并非只来自"我开源了什么"，也来自"我用了什么"和"我承诺了什么"。可以归纳为四个暴露面：
- 许可证合规风险：GPL/AGPL 等强 copyleft 许可证可能要求衍生作品以相同许可证发布；许可证兼容性冲突会导致无法合法分发。
- 知识产权与权属风险：员工在职务期间产出的代码权属是否清晰、是否包含第三方代码、是否使用了受限专利或商业秘密。
- 供应链与安全风险：传递依赖中的漏洞、被撤回的版本、恶意包投毒、上游维护者变更。
- 社区与声誉风险：贡献流程不合规被上游拒绝、CLA/DCO 签署缺失、商标使用越界、治理冲突导致项目分叉。
三、合规边界：三条判断线
把复杂的法律与治理问题压缩成可操作的判断，可以先用三条线定位：
- 使用边界：内部使用、SaaS 对外服务、二进制分发、源代码分发，四种场景的义务强度依次上升。AGPL 会把"通过网络提供服务"也纳入触发条件。
- 修改边界：是否修改、是否与自有代码结合、结合方式（同进程/独立进程/仅数据交互），决定衍生作品范围的认定。
- 贡献边界：向哪个项目贡献、该项目采用何种 CLA/DCO、是否涉及雇主 IP 授权、是否触碰出口管制或专利授权条款。
这三条线共同构成企业的"开源合规边界"。边界之内可以自主决策，边界之外必须走审批或改造流程。
四、实务框架：从策略到执行的五层结构
为了让课程后续内容有统一落点，这里给出一个五层实务框架，后续章节将逐层展开：策略层（开源战略与项目分级）、制度层（政策、流程、角色与审批矩阵）、工具层（SCA 扫描、许可证识别、SBOM 生成、CLA 机器人）、执行层（引入评估、贡献提交、发布检查、漏洞响应）、度量层（合规覆盖率、贡献活跃度、风险闭环时长）。
五、学习路径与课程地图
本课程共 30 章，按"认知—制度—工具—执行—度量—复盘"的顺序推进。前几章建立概念与边界，中间章节进入许可证识别、依赖扫描、SBOM、CLA/DCO、贡献流程、发布检查等具体操作，后段覆盖安全漏洞响应、许可证变更应对、社区治理冲突、开源项目分叉与退出策略，最后以度量与持续改进收束。每一章都会给出可执行的判断依据、示例参数或可填写的检查表，而不是停留在原则层面。
六、一个可立即使用的起点：开源行为分级判断表
在进入后续章节之前，可以先建立一张最小可用的分级判断表。它的作用不是替代法律意见，而是让团队在提交审批前先完成自我定位，减少无效沟通。下表为示例结构，企业可根据自身政策调整阈值与审批角色。
| 行为类型 | 典型场景 | 主要风险 | 建议审批层级 |
|---|---|---|---|
| 仅内部使用开源组件 | 引入 MIT/Apache-2.0 库用于内部系统 | 低（需记录版本与许可证） | 研发负责人 + 依赖清单登记 |
| 对外分发含开源组件的产品 | 客户端、SDK、镜像交付 | 中（许可证义务、NOTICE、源码提供） | 法务/OSPO 审核 + 发布检查 |
| 修改开源代码并对外分发 | 定制分支、补丁版本 | 高（衍生作品认定、copyleft 触发） | OSPO + 法务联合审批 |
| 以公司名义向上游贡献 | 提交 PR、补丁、文档 | 中（CLA/DCO、雇主 IP、专利授权） | OSPO 审核 + 贡献者协议确认 |
| 开源公司自有项目 | 新建仓库、选择许可证、治理模式 | 高（策略、商标、治理、长期维护） | 开源战略委员会决策 |
七、本课程要解决的核心问题
回到最初的问题：企业开源贡献的价值、风险与合规边界，本质上是一组权衡。价值来自复用、生态、人才与治理影响力；风险来自许可证、权属、供应链与社区；边界则由使用方式、修改方式与贡献方式共同决定。本课程不会给出"一刀切"的答案，而是提供一套可复用的判断框架、工具链与操作流程，让每个团队在面对具体组件、具体许可证、具体贡献场景时，能够快速定位风险等级、找到对应流程、留下可审计的记录。
接下来的章节将从最基础的许可证识别与分类开始，逐步进入依赖扫描、SBOM 生成、贡献流程设计、发布检查与安全响应。建议在学习过程中同步整理自己团队的真实组件清单与贡献记录，把课程内容直接映射到实际工作上，这样每一章的产出都能沉淀为组织资产，而不是停留在笔记里。