開發(fā)人員可以通過將開源軟件集成到其代碼庫中，節(jié)省時間并避免重復(fù)發(fā)明輪子。然而，這也帶來了嚴(yán)重的許可侵權(quán)風(fēng)險。你必須遵守適用于重新使用的開源代碼的眾多開源許可證之一。如果你不這樣做，你（或你所在公司）有可能因違反開源許可證條款而被起訴。即使這種訴訟并不普遍發(fā)生，它們確實存在。

1、熟悉開源許可證

了解開源許可證是防止開源許可侵權(quán)問題中最重要的一步。很容易認(rèn)為所有開源許可證都施加相同的條件，或者它們都基本要求源代碼的持續(xù)可用性。實際上，有數(shù)十種不同的開源許可證，它們都有著非常不同的條款。簡單地認(rèn)為只要你從一個開源項目獲取代碼，你可以隨意使用它并保持源代碼可訪問，這是一個嚴(yán)重的錯誤。幾個開源許可證的一個典型但經(jīng)常被忽視的條件可能是需要向原始作者提供致謝。

2、記錄你使用的開源內(nèi)容

建立一個標(biāo)準(zhǔn)化的方法來記錄你使用開源代碼的情況是一個優(yōu)秀的做法。導(dǎo)入模塊或從 GitHub 粘貼代碼并不難。但如果你不追蹤代碼來自何處以及使用了何種許可證，你可能會忘記在代碼庫中如何以及在哪里集成開源內(nèi)容。此外，如果你在借用代碼時無法證明自己遵守了有效的許可條件，那么在開源許可證發(fā)生變化時可能會產(chǎn)生問題。考慮在文檔維基（如果有的話）中添加一個頁面，列出你使用的開源代碼，以避免出現(xiàn)這個問題。每當(dāng)你包含開源組件或依賴時，至少在你自己的源代碼中添加注釋。

3、避免使用未經(jīng)授權(quán)的開源組件

有時，你可能會偶然發(fā)現(xiàn)一個隱藏的 GitHub 存儲庫或其他源代碼托管位置，其中包含你希望使用的代碼，但沒有提到任何許可指南。你可能會認(rèn)為代碼的創(chuàng)建者希望讓其成為開源代碼，并且你可以根據(jù)自己的意愿使用它。但這是一個危險的假設(shè)。開發(fā)人員可能會后續(xù)對代碼設(shè)置特定的許可條件，并要求你遵守這些條件，這可能導(dǎo)致未來產(chǎn)生許可侵權(quán)的指控。除非你有非常充分的理由，否則避免使用缺乏明確許可限制的模糊代碼。

4、創(chuàng)建自己的開源代碼

將你自己的軟件完全開源是減少與開源許可相關(guān)風(fēng)險的一種方法。這意味著你將自動遵守任何要求保留派生源代碼的開源許可條件。然而，請記住，僅僅開放你自己的代碼并不能確保完全遵守許可證。你仍然需要努力確保你遵守每個許可證的規(guī)定，因為適用于你借用的代碼的許可證可能與你選擇的開源許可證不同。然而，你無需擔(dān)心與源代碼共享相關(guān)的任何條款。

5、自動檢測開源組件

雖然在代碼庫內(nèi)手動跟蹤你如何使用開源是很好的做法，但通過使用能夠自動識別開源組件和依賴項的軟件，你可以降低出錯的可能性。在這里，我們應(yīng)該考慮兩種不同類型的工具。一種是源代碼組成分析（SCA）軟件，它會自動掃描源代碼并識別從值得信任的外部來源獲取的元素。另一種是軟件供應(yīng)鏈管理解決方案，除其他功能外，還支持查找和監(jiān)控應(yīng)用程序堆棧中的任何開源依賴項。