如何定義開源軟體＆套件？3分鐘快速搞懂第三方套件的授權模式！

2024/04/16

現在許多人經常使用第三方套件，就是所謂的開源軟體及開源套件，指的是其原始碼可以被公眾檢視、修改與發佈的程式。但你瞭解定義開源軟體及套件，需具備10大要件嗎？本文就也一次快速透過3分鐘，帶你搞懂第三方套件的授權模式，瞭解用戶及開發者可以如何使用、修改、發布及共享軟體喔！

定義開源軟體需具備的10大要件

開放源碼促進會（Open Source Initiative，縮寫：OSI）以兼顧軟體的商業應用及程式源碼自由流通為目的，定義開源軟體必須具備下述要件：

1. 允許自由散布。

2. 包含程式源碼的自由流通。

3. 授權條款允許改作及衍生程式的產生。

4. 需保持原作者程式源碼的完整性（Integrity）。

5. 授權條款對任何個人或群體均應一視同仁，不得有差別待遇。

6. 授權條款不得對特定領域或活動的應用有差別待遇。

7. 授權條款所賦予的權利自動適用到每一位程式的收受者。

8. 授權條款所賦予的權利不得專屬於特定產品。

9. 授權條款不得對隨同散布的其他軟體做出限制（例如規定必須同為開放源碼軟體）。

10. 授權的管道必須保持技術中立性，不限制特定方式或平台才能取得。

依據上述對於開源軟體的定義，以及基於著作權法第 5 條第 1 項第 10 款：「本法所稱著作，例示包括電腦程式著作。」規範，制訂出多種情境、特性、規範的開源軟體授權條款。可以依據是否具有 Copyleft 特性，大致分為以下兩大類。

Copyleft Licenses

著作權（Copyright）給予著作權人專有利用著作的權利；Copyleft 則表達相反的思維，因故Copyleft 是一種嚴格的開源授權條款。它允許使用者使用、修改和分發軟體，但是有一個重要的條件：任何基於該軟體的衍生作品在分發時，也必須使用相同的或兼容的授權條款。這種要求確保衍生作品和原始軟體一樣保持開源，並強制分享改進。最經典且常見的Copyleft授權為GNU General Public License (GPL)。

非Copyleft Licenses (或可稱 Permissive Licenses)

因此，在使用開源軟體時，除了其所提供的功能以及便利性之外，也需要進一步確認其所依循和使用的授權條款是屬於哪一種類型的授權，並了解其受條款所規範的項目，例如其修改物與衍生程式是否有實質散布、是否須遵循相同授權、是否也須完整公開程式源碼。

常見的9種授權類型＆建議

授權名稱	簡稱	授權說明	強制公開程式碼 DevOps	商用、企業內使用	一般建議
MIT License	MIT	MIT授權條款是一種極為寬鬆的開源授權，允許開發者幾乎無限制地對軟體進行使用、複製、修改、合併、出版發行、再授權或銷售。使用者只需要在所有複製或重要部分的程式碼中，保留版著作權權聲明（Copyright）和許可聲明（License）即可，因此更容易與傳統的軟體銷售模式相結合。	no	允許	此授權僅需要在使用處或重要處，註明該段程式碼版權和聲明，不須公開完整程式碼；且條款內容可依照著作權人的需要修改。
GNU General Public License	GNU GPL	GNU通用公共授權條款是一個廣泛使用的自由軟體授權，該授權條款保證終端使用者的自由，強制要求衍生作品也必須使用相同的授權條款發布。這就是所謂的“copyleft”條款，也是最常見的，這種授權模式保護了軟體的自由和開源特性，亦為開源的核心價值。	yes	允許，但必須同樣以GPL授權公開源碼。	此授權必須完全公開你專案的程式碼，並且也必須使用GNU General Public License的授權條款。
Lesser General Public License	LGPL	LGPL是GPL的一個衍生版本，原先稱為Library GPL。LGPL授權條款允許開發者將自行開發的程式與LGPL許可的程式做整合，，也就是允許被使用於閉源軟體中(私有開發)；其唯一條件是，若修改了LGPL的開源部分，則必須公開修改後的開源源碼。	部分強制，須公開修改後的凾式庫(Library)源碼。	允許	此授權主要針對在修改LGPL授權的開源凾式庫(Library)時，必須公開修改後的凾式庫源碼，未修改的部份則可以不用公開。可以將其用於自行開發之不公開源碼的商業應用中。
Apache License	Apache 2.0	Apache 2.0授權條款是一種寬鬆的開源授權，允許開發者自由使用、修改和分發軟件，但它要求對修改過的檔案進行標記，並且在發佈的作品中包含原來的版權、商標、專利聲明（Copyright）以及一份Apache條款（License）。	no	允許	此授權允許商業使用，不過必須包含著作權聲明內容（Copyright）、Apache 條款（License）以外，還要特別標示出修改過的地方，但不需要公開修改的程式碼。特別的是，Apache License 2.0提供了專利訴訟保護，作為商用軟體使用條款更有保障。
BSD License	BSD License	BSD授權條款是一個非常寬鬆的授權，允許開發者幾乎無限制地使用源碼，只要保留原始的版權聲明和免責聲明即可。此授權分為二條款（2-Clause）和三條款（3-Clause）的版本，目前市面上以為主，主要增加了一條「禁止使用作者或軟體名稱，用於本軟體衍生產品的認可或促銷活動」的條款。	no	允許，但3-clause 禁止使用作者或軟體名稱作為衍生產品命名和銷售宣傳。	此授權基本上唯一的規定就是必須把原本程式碼的 BSD 條款的著作權聲明內容（Copyright）留著。可以商業化，但3-Clause版本不得使用原專案作者的名聲，來作為後續散佈程式進行廣告或背書的規定。
Mozilla Public License	MPL 2.0	MPL授權條款是一種中間程度限制的開源授權條款，只要求開發者針對修改過的檔案，必須以相同的授權條款發布與分享；但不要求整個產品都必須使用相同的授權條款，因此也不需要完整公開程式碼。這使得MPL更加靈活，允許將MPL程式與其他類型的程式結合發佈。	部分強制，須公開修改後的MPL程式但不包含完整專案。	允許	此授權不需要整個專案都使用相同的授權條款，只有在引用或使用處有進行修改的部分必須公開，其他部分程式碼不需要套用此授權，亦不需要公開。
GNU Affero General Public License	AGPL	AGPL是GPL的一個變型，專門用於網絡服務或網絡應用程式。而與另一個衍生版本LGPL不同的是，若使用AGPL授權條款的程式，用於網路服務或提供他人使用時，是必須提供專案的完整原始碼。	依使用情況，用於網路服務或提供他人使用時，則必須公開源碼。	商用必須公開源碼。私有環境(公司內部)使用不須公開源碼。	此授權針對專案有使用AGPL授權的程式，且也同樣用於提供網路服務或他人使用時，則必須完全公開專案程式碼。
Eclipse Public License	EPL 1.0	EPL授權條款主要用於Eclipse的軟體專案，經 OSI 認可的最新版本為 EPL-1.0。該授權條款允許任何人自由使用、修改和發布EPL授權的軟體，除修改後的源碼也必須在EPL之下，其修改後的衍生物或執行檔，則允許使用不與EPL衝突的授權條款即可。	部分強制，須公開修改後的EPL程式但不包含完整專案。	商用必須公開修改後的EPL源碼。私有環境(公司內部)使用不須公開。	此授權規定當以源碼格式提供時，必須以 EPL-1.0 授權條款的方式來提供；而若以目的碼（Objective Code）格式提供時，也就是執行檔，則不限定必然要使用 EPL-1.0 的授權，只須能與其相容即可。因此，更適用於外掛（Plugin）或擴充（Extension）。
Common Development and Distribution License	CDDL	CDDL授權條款，類似於MPL的授權條款，主要用於某些Java平台相關的項目中，如OpenSolaris、GlassFish等，允許在特定條件下使用和發布。	部分強制，須公開修改後的CDDL程式但不包含完整專案。	商用必須公開修改後的CDDL源碼。私有環境(公司內部)使用不須公開。	此授權不需要整個專案都使用相同的授權條款，只有在有修改到原始CDDL的部分需要公開；其他部分程式碼不需要套用此授權，亦不需要公開。

開發者應該根據自己的需求、專案的性質，以及對於版權和專利的考量，來選擇合適的授權條款。只要在商業化運用的過程中遵守個別授權條款的規定，所有的自由開源軟體專案皆可被用來進行商業化運用，當然，這也包括內嵌到商業產品之中進行販售。然而，在販售相關產品的同時，必須遵守自由開源軟體授權條款的義務性規定。

若您所開發的專案，考慮到將來的商業規劃，則GPL和AGPL授權的第三方套件則可能並不適用於您的專案，因為這兩項授權條款皆要求其所有衍生物，都必須完整公開專案源碼。但如若開發者希望其他人和組織，能夠盡可能自由地使用、修改和發布專案，傾開源社群之力優化程式或是推動進步，則可以選擇MIT或BSD授權條款。由此可知，選擇適當的開源授權條款，對於確保專案著作權和符合法律規定至關重要。

其他訊息

產業訊息

如何定義開源軟體＆套件？3分鐘快速搞懂第三方套件的授權模式！

其他訊息

AWS、Azure與GCP虛擬網路架構差異分析：選擇適合的雲端架構設計

數據資料中心是什麼？5分鐘看懂資料中心類型、用途及優缺點！

落實Data Access稽核，強化GCP雲端安全防線

手機App安全嗎？推薦3個App檢測工具介紹和優點，讓你預防詐騙！

MDR是什麼？企業需要MDR資安保護嗎？3分鐘看其原理與好處！

為什麼你的企業需要 Azure OpenAI：讓 AI 讀懂你公司的資料，還能變成專屬小助理

採用人工智慧克服銀行業的挑戰

多雲時代來臨，Azure Arc 引領企業輕鬆掌握多雲網路管理之道

從配置漏洞到數據洩露：一則 Terraform 安全案例剖析

告別安全與速度的兩難！阿里雲 ESA 邊緣安全加速，一站式全託管，安全防護，兼顧加速

雲端自動擴展的隱患：配置錯誤將引爆成本危機？

雲端日誌防線重要磐石，別讓黑箱成為防禦漏洞！

IAM 權限設定不當造成離職員工帳號被濫用

SOC結合SOAR好嗎？ SOC安全營運中心用途與結合SOAR優點一次知！

如何查詢網址安全？專家推薦這4招，教你免費檢測網頁安全性！

IT外包費用很貴嗎？一篇搞懂IT外包5個優點和費用如何評估！

多雲管理雲端是什麼？企業多雲資安管理的5大解決方案一次看！

雲地混合是什麼？3分鐘看公有雲、私有雲及混合雲優缺點比較！

ISO 27001是什麼？企業需要導入嗎？一篇瞭解資訊管理系統的優缺點！

雲端託管好嗎？雲端託管6大優點和挑選重點懶人包！

API 金鑰洩露引發大規模虛擬機創建事件

虛擬機登入憑證設定不當駭客侵入成為虛擬幣礦場

採用人工智慧克服銀行業的挑戰

雲端遷移策略企業數位轉型關鍵

從遊戲產業到數位平台：BigQuery 如何突破海量數據挑戰

社交工程是什麼？被攻擊該如何防範？5大資安攻擊和防範手法一次知！

企業需要用到CDN嗎？3分鐘快速瞭解CDN架構、用途和優點！

AWS是什麼？AWS雲端服務類型、優勢和使用方式一次瞭解！

DevOps和SRE差在哪？DevOps的4大優勢和相關服務推薦一次看！

如何做好雲端安全防護？推薦這6大雲端資安健診方法一次看！

IDC是什麼？我適合用嗎？挑選IDC機房3個重點和注意事項一次懂！

全新登場！阿里雲 CAPTCHA 服務，給您頂級安全防護與用戶體驗

什麼是DDoS攻擊？一次教你如何做好DDoS防護，保護你的網站！

如何提升網站效能優化？推薦5個改善網站速度的方法一次看！

雲端遷移成功關鍵因素

SOC它到底是什麼?它對資安有什麼作用?對於SOC資訊安全監控的功能與優勢有哪些?

精準運維，一站監控：探索騰訊雲可觀測平台的強大功能

Page Speed網頁速度如何加快？四種方法教你如何改善網站速度！

雲力橘子 2024 首發 Hacker Talk 論壇， 破解資安求職與無人機資安盲點

如何定義開源軟體＆套件？3分鐘快速搞懂第三方套件的授權模式！

雜貨店也能數位轉型？食品零售商如何透過公有雲優化商務呢

騰訊雲CCN雲聯網 手把手配置 高效穩定企業跨境全球互聯

【2024最新】公司企業的3款最佳Devops工具，成功案例一次看！

使用CDN安全嗎？CDN如何達到基本防護功能呢?

我用的APP安全嗎？會被竊個資嗎？3分鐘快速檢查手機APP資安！

如何確保做好企業資訊安全？這4大DDoS防護方法，推薦學起來！

發現手機被追蹤怎麼辦？注意 這十大被駭徵兆，手機資安恐不 保！

如何加快網站速度?影響網速的要件及升級指南

Vertex AI 和 Workbench 語言模組實戰，打造有人性的客服小幫手

我的 AWS實例啟用失敗，應該怎麼做？

雲力橘子 2023 最終場駭客論壇，探討網站風險、原碼檢測盲點與 Crypto 黑暗面

DDOS流量清洗是什麼？可以阻擋攻擊嗎？DDOS防禦方法一次看！

Devops是什麼？推薦企業一次看懂Devops定義、流程及優缺點！

如何做好資安防護？3個APP資安檢測工具、費用及功能一次看！

CDN廠商怎麼選？中華電信CDN、Cloudflare及Multi CDN大評比！

如何檢測iOS、Android手機資安？4招檢測方法預防詐騙＆駭客！

Google Cloud 引領潮流，擴大企業級生成式 AI的應用範疇，開創無限可能！

雲力橘子邀請專家獻策，破解惡意後門與車載資安盲點

企業為什麼要上雲？用途為何？盤點上雲5大優勢和費用解析！

可自建CDN嗎？和供應商差在哪？兩者優缺點和供應商挑選一次懂！

優化數據處理體驗：探索騰訊雲 EdgeOne 邊緣計算新境界

我該如何選擇最適合 AWS EC2 實例?

企業如何挑選合適的雲端服務？公有雲、私有雲差異比較總整理

技術專欄_運用AWS Network Firewall控制 Workspaces

弱點掃描工具有哪些？5款免費、付費弱點掃描工具優缺點分析！

如何設定網站CDN？推薦公司企業使用CDN加速的4大原因！

如何應對邊緣節點的網路攻擊？在 CDN 邊緣節點建立防護系統！

如何測試網站安全？OWASP工具測試弱點掃描的功能服務解析！

如何防禦DDoS攻擊？推薦這4大DDoS防護方法，避免網站被駭！

Google Cloud 初學者指南：我該將服務運行在哪呢？

雲力橘子串聯執法機關、資安廠商與風險顧問引導企業降低遇駭危機

企業需要SOC資安監控嗎？如何評估？看懂SOC監控的5大功能！

Multi CDN是什麼？為什麼要融合CDN？其應用方法與原理一次知！

如何利用CDN內容傳遞網路讓網站加速？4大優勢與趨勢分析！

DDoS攻擊怎麼防禦？DDoS攻擊手法與資安供應商挑選一次搞懂！

為什麼網站速度慢？和網頁設計有關嗎？速度慢會造成什麼影響？

如何提升企業雲端防護力-Cloud Armor

雲力橘子 2024 首發 Hacker Talk 論壇，破解資安求職與無人機資安盲點

騰訊雲CCN雲聯網手把手配置高效穩定企業跨境全球互聯

發現手機被追蹤怎麼辦？注意這十大被駭徵兆，手機資安恐不保！

雲力橘子 2023 首發論壇，揭示藍隊能力升級、開發／資安磨合的奧妙心法

2022 雲力橘子 Hacker Talk 漂亮收尾，解構開發模式、弱點檢測之安全盲點

如何提升網站速度及效能？推薦先搞懂動態v.s靜態網站的差異！

從零基礎學破解的駭客工具 Magisk Root，看懂駭客攻擊如何操作！