# Oss Review

> 开源许可证合规审查——依赖列表/单库/ outbound代码的许可证检查。 适用情形：审查package.json/requirements.txt/go.mod等依赖清单的许可证合规。

- Skill: `vivy-yi/oss-review` (Agent Skill)
- Install (CLI): `npx skillmds@latest add vivy-yi/oss-review`
- Raw SKILL.md: https://api.skillmd.com/api/skills/vivy-yi/oss-review/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- Author: vivy-yi (https://skillmd.com/u/vivy-yi)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/vivy-yi/oss-review

---


## 数据源与判断框架引用

本 skill 引用场景级配置 `../../CLAUDE.md`。
来源标注规范（[YD]/[WKL]/[BD]/[GOV]/[model]）参见场景级 references/ 目录。

# /oss-review — China Mainland

## CN开源合规特殊说明

**中国企业的特殊考量：**
- 出口管制：部分开源软件受中国出口管制法规约束
- 数据安全：涉及数据处理的开源库须通过网络安全审查
- 国密算法：金融/政府相关项目须使用国密算法替代

---

## 许可证分类

| 类别 | 许可证示例 | 义务 |
|---|---|---|
| ** permissive** | MIT, BSD, Apache-2.0 | 保留版权声明即可 |
| **弱copyleft** | LGPL, MPL | 修改部分须开源，库本身可闭源 |
| **强copyleft** | GPL-3.0, AGPL-3.0 | 衍生作品整体须开源 |
| **非OSI认证** | SSPL, BUSL, Commons Clause | 非开源，需商业许可 |
| **未知** | 无LICENSE文件 | 须人工确认 |

---

## CN常见合规问题

### 强copyleft风险（GPL类）
- SaaS服务如果传输代码给用户，可能触发"传播"义务
- AGPL-3.0：通过网络对外提供服务也须开源

### 非OSI认证许可证
- SSPL (MongoDB) — 不是开源许可证，商业使用须申请商业许可
- Elastic License — 禁止提供云服务
- Commons Clause — 禁止商业销售

### 许可证冲突
- GPL代码不得与 proprietary代码直接结合
- Apache-2.0 + GPL-2.0 可能存在兼容性冲突

---

## 部署模式影响义务

| 模式 | 义务 |
|---|---|
| SaaS（对外提供服务）| AGPL/GPL可能要求开源 |
| 分发二进制 | 须保留许可证声明，提供源代码 |
| 内部使用 | 义务较轻，但仍须遵守许可证 |
| 嵌入式产品 | 须开源整产品（GPL传染性）|

---

## 审查输出

```
## 开源许可证合规报告

### 高风险（须替换或寻求商业许可）
🔴 [包名] — [许可证] — [问题] — [建议]

### 中风险（须法律意见）
🟠 [包名] — [许可证] — [问题] — [建议]

### 低风险（可直接使用）
🟡 [包名] — [许可证] — [合规条件]

### 许可证分布
- permissive: [N]个
- weak copyleft: [N]个
- strong copyleft: [N]个
- non-OSI: [N]个
- unknown: [N]个
```

---

*Greater China Legal — ip-legal oss-review CN adapter v1.0.0*