这几天安全圈传得很快的一件事：微步在线发了份声明，把一款叫ARTEX的渗透测试框架版权收走了。原先是他们一位工程师的业余开源项目，9月份还在百度安全挑战赛拿过冠军，接着又被黑客拿去攻击韩国金融机构，原作者在10月关了公共仓库。现在微步声明说，项目版权已归公司所有，开源分支你可以继续用，但基于原开源版的二开，也必须继续开源；如果要拿去做商业产品，得另外找微步买商业授权。
开源≠随便商用，这是很多站长的盲区
你可能会想：一个渗透工具，跟我卖主机、用WHMCS做账务面板有什么关系？关系大了。咱们平时用的WHMCS插件、WordPress主题和插件，大量都基于GPL这类开源协议发布。很多站长拿到一套免费版，自己改改支付网关、汉化一下，就放进主机套餐里搭配销售。有些人还二次打包，挂到第三方网站上卖。这种行为放在GPL协议下，只要发布了二进制或源代码，就必须将衍生作品同样以GPL协议开源。你不开源，原作者一旦追究，轻则下架，重则被索赔，不是没先例。
二开了不开源，问题出在哪里？
不少客户问过我：”我就是自己改两行代码，又没拿去卖钱，也要开源？”如果是内部使用，通常没太大风险；但只要分发给别人——哪怕免费赠送、打包进主机套餐、让客户下载——就算”发布”了。协议要求接收方有权拿到对应源代码。如果你只给编译后的文件，或者改了以后把原作者的信息抹掉，就构成了违约。
更麻烦的是，很多插件本身就有”双重许可”：你可以免费使用，但要二开商用就得买商业授权。像这次ARTEX事件，微步就明确说，基于原开源版开发商业产品需获得商业授权。这在WHMCS和WordPress生态里屡见不鲜。有些站长觉得”反正网上都能下到”，直接拿破解版改了用，结果插件作者一个DMCA通知发到机房，服务器都被暂停，业务全断。
对待授权，主动比补救省钱
如果你现在的业务里，WHMCS或WordPress用到了二开的插件，尤其是对外分发的，建议花半天时间做一次自查：先看原始的许可证文件（LICENSE.txt或README中声明），确认到底是GPLv2、GPLv3还是MIT这类宽松协议。如果拿不准，别赌，直接联系原作者或走正规授权渠道。
而对于那些需要二开交付给客户的建站团队和开发者，从微码宝这类正版授权平台获得授权是个稳当的起点——微码宝上多数WHMCS与WordPress插件都提供免费基础版，你可以在正式订阅前先跑通业务流程；需要深入开发、把插件集成进自己的商业产品时，再通过会员套餐获取商业授权和后续更新，整条合规链路就清晰了。就算暂时不买商业授权，用官方免费版也比用来源不明的修改版要安全，起码遇到漏洞时能跟着官方更新走。
微步这次声明给整个开源社区提了个醒：不要以为只要是开源的，就可以无限制改造分发。随着越来越多的开源项目被企业收购，授权条款只会更严格。你在选插件和主题的时候，把”授权合规”当成一个必选项来评估，别等收到律师函才开始研究GPL写了什么。
