世界上的通用软件开源许可证大概有上百种，常见的有GPL、BSD、MIT、Mozilla、Apache和LGPL等。按特性大致可以分为宽松型和传染型两大类。笔者会通过三篇文章分别介绍GPL、Apache、MIT协议。今天先聊GPL。

GPL，全称GNU通用公共许可证，是历史最久、影响力最大的开源协议之一。它的独特之处在于"传染性"——你用了GPL的代码，你自己的代码也可能要跟着开源。我做合规这些年，企业客户问得最多的就是三件事：用了GPL代码，我自己的代码是不是也必须开源？GPLv2和GPLv3到底差在哪？动态链接算不算衍生作品？下面我从这三个角度展开讲。

一、GPL协议的诞生与Copyleft的本质

上世纪八十年代，软件行业越来越封闭，商业公司开始限制用户获取源代码的权利。MIT的理查德·斯托曼（Richard Stallman）对此深感不满，发起了GNU计划，1985年创立了自由软件基金会（FSF）。GPL协议就在这个背景下诞生。

GPL的核心思想叫"Copyleft"，和"Copyright（版权）"相对。传统版权赋予作者垄断权，限制他人复制修改传播；Copyleft反过来利用版权法，确保软件及其衍生作品始终自由开放。斯托曼自己总结的目标是"四大自由"：运行、研究和修改、再分发、发布改进版本。

这里有一个关键点：GPL不是在否定版权，而是在用版权做不一样的事。开源权利人从来没有放弃著作权——恰恰相反，他们正是靠著作权来实施Copyleft。中国法院对此已有明确认定。广州知识产权法院审理罗盒公司诉玩友公司案时指出，GPLv3是附解除条件的著作权合同：用户违规，许可前提消失，协议自动终止，再用就是侵权。这是全国首例明确认定开源协议具有合同性质的判决。

理解这一点，就知道违反GPL不是什么"社区道德约束"，而是正儿八经的法律责任。罗盒案最终判令玩友公司停止提供含有侵权代码的四款软件，赔偿50万元。

二、GPL三个版本的演变轨迹

GPL从1989年发布至今经历了三次重大迭代，每一次都是对当时新问题的回应。

GPLv1：Copyleft理念的首次落地

1989年2月25日，GPL第一个版本发布。此前斯托曼也为GNU Emacs、GDB等写过许可，但都是针对特定程序的，互不兼容。GPLv1想做的事很简单：搞一个通用许可证，让不同项目能共享代码。

v1主要对付两种行为：一是只发布二进制文件不给源代码，二是给许可证附加额外限制。GPLv1要求分发GPL软件必须附带可读源代码，修改后的整体必须在GPLv1条款下分发。GPLv1可以和更宽松的许可证组合，但不能和更严格的组合。

今天看v1的条款很简单，但它奠定了整个GPL体系的基础。

GPLv2："自由或死亡"

1991年6月GPLv2发布，至今仍是最广泛使用的版本。Linux内核就用的这个。

v2最大的变化是第七条——"自由或死亡"（Liberty or Death）。意思是：如果你因为专利诉讼或其他法律义务，没法同时满足GPL的所有义务，那你干脆就别分发这个软件。说白了，不能为了卖专利许可就把自由软件变半自由半封闭。

同时诞生的LGPL（后改名"较宽松通用公共许可证"）是战略性的让步：对于C标准库这类库软件，用严格GPL会让开发者不敢用，LGPL允许动态链接的上层应用闭源，只对库本身的修改要求开源。这一招确实有效推动了GNU C库等基础库的普及。

一个容易被忽略的细节：GPLv2的标准写法是"适用第2版或（由您选择）任何更新版本"，大多数GPLv2项目其实允许升到v3。但有人会明确写"仅适用第2版"，Linux就是典型——林纳斯·托瓦兹公开拒绝升级到v3，所以Linux至今停在v2。

GPLv3：应对新时代挑战的全面修订

2007年6月29日GPLv3发布。斯托曼亲自执笔，全球2600多人提了意见。这次修订主要解决v2发布后十几年冒出的新问题。

第一个变化：反Tivo化条款。TiVo公司的数字录像机用的是GPL许可的Linux，但通过硬件锁阻止用户运行修改后的软件。你能拿到源代码，但跑不起来——等于白给。GPLv3要求：在消费类产品中分发GPLv3软件，必须提供安装修改版所需的信息、密钥或指令。只管消费类，不管工业设备。

第二个变化：强化软件专利应对。GPLv3规定，分发GPLv3软件的人必须向接收者授予所有必要的专利许可。谁用专利诉讼阻止别人行使GPL权利，谁的许可证自动终止。这条直接针对微软和Novell当年的专利交易——微软向Novell客户提供专利保护，社区视为用专利分裂开源的行为。

第三个变化：提升许可证兼容性。GPLv2太严格，导致Apache等很多许可证和它不兼容。GPLv3放宽了，明确和Apache 2.0兼容，减少了不同开源代码混用的法律障碍。

第四个变化：用语国际化。v1和v2基于美国版权法起草，有些术语在不同法律体系中含义不同。v3创造了"propagate（传播）"和"convey（传送）"两个新术语，在各国版权法下保持一致。

另外，v3增加了宽容机制：首次违规且及时纠正的，许可证可以恢复，不像v2那样永久终止。这对商业用户更友好。

三、GPL传染性的核心判定要素

下面讲最关键也最容易出问题的部分——传染性。简单说就是：你用了GPL代码，你的软件可能也得开源。但"用"到底是什么意思？链接算不算？调用API算不算？服务端运行算不算？我从五个维度来拆解。

第一，判断是否构成"衍生作品"。传染性只及于衍生作品，不涉及独立作品。但"衍生作品"本身就是版权法里最模糊的概念之一。美国主要看量和质——用了多少原作内容，是不是核心部分。中国著作权法对应的是"改编"和"汇编"。

FSF的立场偏宽泛：程序和GPL代码在设计上紧密结合、功能上相互依赖，构成统一整体，就是衍生作品。如果只是通过管道、套接字、命令行做简单通信和数据交换，各自可以独立运行，就是独立程序，不受GPL约束。

但FSF的解释没有法律强制力。最高法知产法庭审理的苏州某公司与浙江某公司案中，原告基于GPLv2的OpenWRT系统二次开发，声称底层系统和上层功能软件之间用了套接字和命令行做了隔离。该案核心是确立"开源抗辩不成立、权利瑕疵与侵权救济分离"原则。

第二，链接方式。静态链接是编译时把GPL库代码直接整合到可执行文件里，构成衍生作品基本没争议。动态链接有分歧——运行时才加载库，可执行文件本身不包含库代码。FSF认为无论静态还是动态，只要运行时形成统一整体就是衍生作品。但也有人认为动态链接只是临时组合，不构成衍生作品。我的建议是保守处理：不想开源就别直接链接GPL库，用LGPL版本，或者用进程间通信、命令行调用这些更松散的方式。

第三，分发行为。只有"分发"衍生作品时，GPL的传染性才会触发。公司内部使用GPL软件，怎么改怎么集成都行，不需要开源。但卖给客户、嵌入硬件出售，就构成了分发，必须履行开源义务。这里要特别提AGPL——它是GPL的强化版，加了"网络使用"条款：通过网络提供服务（比如SaaS），即使没分发副本，也必须提供源代码。GPLv3没采纳这条，但如果你用的是AGPL软件（比如早期MongoDB），服务端使用就可能触发开源义务。

第四，代码的数量和重要性。用几行非核心的GPL代码，法院未必认定整个软件是衍生作品。但如果大量复制核心模块，或者软件主要功能就是建立在GPL代码之上，被认定为衍生作品的概率就非常高。罗盒案中，玩友公司主张只有沙盒分身功能用了GPL代码，法院认为其没有举证证明该部分是独立的，最终判决整体适用GPLv3。

第五，开发者的主观意图。知道代码是GPL许可的还故意用，想通过技术手段规避——法院大概率会做不利认定。善意使用的情况，即使最终被认定违规，责任程度也可能不同。GPLv3的"自动恢复"条款就体现了这个精神。

四、企业使用GPL软件的合规建议

第一，建立开源代码管理制度。开发者随手从GitHub"借鉴"代码，不知道用的什么许可证，等到被起诉才发现是GPL——这种情况太常见了。企业应建立开源代码引入的审批流程，要求开发者申报来源、许可证类型和使用方式，由法务审查。GPL这类强传染性许可证，要设特别审批机制。

第二，准确识别GPL版本和兼容性。是v2还是v3，有没有"或任何更新版本"的表述，这些必须确认清楚。不同许可证之间的兼容性也要注意：Apache 2.0可以合并到GPLv3，但不能合并到GPLv2（除非v2+版本）。

第三，合理设计软件架构，控制传染范围。需要GPL库但不想开源核心代码，就在架构上下功夫：把GPL组件封装成独立进程或服务，通过网络协议、管道、命令行和主程序通信。但这种设计必须是真实的功能性隔离，不能做样子——如果实质上还是紧密集成，法院照样认定为衍生作品。

第四，履行义务要规范完整。分发GPL软件时要做的事：随产品提供完整源代码或书面承诺三年内应请求提供；保留版权声明和许可证文本；标注修改过的文件；GPLv3涉及消费类产品还要提供安装密钥和说明。每一项都可能成为诉讼中的争议点。

第五，合规风险要及时应对。发现可能有问题，别抱侥幸心理。第一时间评估影响范围；无意违规且程度较轻的，联系版权人沟通纠正（GPLv3下首次纠正可自动恢复）；问题严重的，制定整改方案——替换组件、重设计架构、或按要求开源。

第六，关注国内司法实践。过去很多人觉得GPL是"舶来品"，中国法院不一定认。但从广州知识产权法院的罗盒案，到最高法知产法庭对开源软件著作权保护的论述，中国法院正在形成越来越清晰的规则。别用"别人都这么干，没人管"来自我麻痹。

五、结语

GPL诞生三十多年，从一个理想主义者的实验，变成了支撑数字经济的基础设施。Linux内核、GCC编译器、MySQL数据库，这些改变了世界的软件都是在GPL保护下成长起来的。"传染性"不是洪水猛兽，它用版权法来捍卫软件自由，确保每个用户都有运行、修改、分发和改进软件的权利。

对企业来说，GPL是双刃剑。用好了，降低研发成本，站在巨人肩膀上创新；用不好，引发知识产权风险，甚至危及核心产品安全。关键就是理解规则、尊重规则、善用规则。我见过太多因为忽视开源合规付出代价的案例，也见过企业通过完善开源管理体系，在合规前提下充分享受开源红利。

开源不是免费午餐，自由也需要规则来守护。