我问答网先泼盆冷水。有人跑来问我：开源软件是不是就是免费软件？我差点把咖啡喷屏幕上。免费？你猜 Red Hat 靠什么活到今天。开源软件这四个字，重点从来不是不要钱，而是源代码摆在那儿，你能看、能改、能分发。至于要不要付费，看你怎么用、用在哪儿、用得多狠。
Q1：开源软件到底是不是免费午餐？
答：不全是。许可证才是那把尺子。MIT、BSD 这种宽松派，你拿去改，闭源卖钱，基本没人拦你，只要保留版权声明。GPL 就麻烦了，你改了再分发，得把源代码交出来。AGPL 更狠，网络服务也算分发。很多人做 SaaS，随手用一个 AGPL 组件，结果被要求开源整个服务端。那场面，法务脸都绿了。💡 记住：开源软件是自由，不是不要钱。但自由有边界，边界写在许可证里。Red Hat 卖订阅，MongoDB 卖云服务，HashiCorp 改 BUSL，开源公司也要吃饭。别把开源当慈善，它更像一种协作策略。
Q2：公司用开源软件，法务最怕什么？
最怕许可证冲突和依赖链。你引入一个 GPL 库，可能把整个产品拖下水。还有专利报复条款、商标、出口管制。做法不复杂：建立 SBOM，用扫描工具，审许可证。别等被起诉再翻代码，那时候翻出来的都是泪。✅ 关键：宽松许可证不等于没义务，至少要保留版权声明。有些公司连这个都忘，心大。
Q3：开源社区是不是一群用爱发电的人？
有，但不全是。Linux 内核大部分贡献者有公司发工资。基金会背后有企业赞助。可也有大量项目靠一个人半夜修 bug。然后作者 burnout，项目停更。你用的轮子可能已经三年没更新。❗ 风险：依赖一个死亡项目，比依赖一个商业公司还危险。商业公司倒了还能买源码，个人项目作者跑路，你连问人都找不到。不过话说回来，社区也很神奇，一个 issue 可能炸出十年老用户，顺手把补丁交了。
Q4：开源软件安全吗？
理论上“足够多的眼睛”能让 bug 浮出水面。实际上，Log4j 爆的时候大家都在盯。xz utils 后门差点进主流发行版。供应链攻击越来越阴。别以为开源就自动安全。安全取决于维护者、审计和你的响应速度。用 Dependabot、Renovate，但也要看 changelog。有些更新是修漏洞，有些更新是换爹。对吧，你懂的。
Q5：十个快问快答，有些答案会得罪人
- Q：开源软件等于免费吗？ A：不等于。服务、支持、托管、法务风险都要钱。
- Q：MIT 和 Apache 2.0 选哪个？ A：Apache 有专利授权，企业更爱；MIT 更短更随意。
- Q：GPL 和 AGPL 差在哪？ A：AGPL 把网络服务也当分发，SaaS 要小心。
- Q：我能把开源代码闭源卖钱吗？ A：看许可证。MIT/BSD 可以，GPL 不行，除非你愿意开源。
- Q：公司用开源要担心法务吗？ A：要。尤其 copyleft 和专利条款。做 SBOM 不亏。
- Q：开源项目怎么赚钱？ A：支持订阅、云托管、开放核心、双许可证、捐赠、周边。
- Q：大厂为什么一边用一边不开源？ A：竞争、专利、内部代码质量、合规。别天真。
- Q：开源软件谁负责安全？ A：你。使用者自己负责，维护者没欠你。
- Q：作者跑路怎么办？ A：fork、社区接管、换库、买商业版。早做备胎。
- Q：普通人能参与开源吗？ A：能。文档、翻译、测试、提 issue、改错别字都算。
所以下次再有人说开源就是免费，你就把许可证拍他脸上。先看许可证，再看维护状态，最后看自己能不能兜底。开源软件很好，但别把它当圣母。用得好，它是杠杆；用不好，它是债。