# 许可证速查（License Guide）

> 验货必须报告许可证类型及其约束。原因很实际：**用户会拿这个 skill 做商业项目。**
> 一份 MIT 的 skill，可能内含 GPL 的代码、商业授权的字体、禁止商用的模型权重。

---

## 一、常见许可证对照

| 许可证 | 商用 | 修改 | 分发 | 需署名 | 需开源 | 专利授权 | 风险等级 |
|---|---|---|---|---|---|---|---|
| **MIT** | ✅ | ✅ | ✅ | 保留版权声明 | ❌ | 隐含 | 低 |
| **Apache-2.0** | ✅ | ✅ | ✅ | 保留声明 + NOTICE | ❌ | ✅ 明示 | 低 |
| **BSD-3-Clause** | ✅ | ✅ | ✅ | 保留声明 | ❌ | 隐含 | 低 |
| **ISC** | ✅ | ✅ | ✅ | 保留声明 | ❌ | 隐含 | 低 |
| **MPL-2.0** | ✅ | ✅ | ✅ | 保留声明 | 仅修改的文件 | 隐含 | 中 |
| **LGPL-3.0** | ✅ | ✅ | ✅ | 保留声明 | 仅库本身 | ✅ | 中 |
| **GPL-3.0** | ✅ | ✅ | ✅ | 保留声明 | **整体** | ✅ | 高 |
| **AGPL-3.0** | ✅ | ✅ | ✅ | 保留声明 | **整体，含网络服务** | ✅ | 高 |
| **CC-BY-4.0** | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ | 低 |
| **CC-BY-SA-4.0** | ✅ | ✅ | ✅ | ✅ | 衍生需同协议 | ❌ | 中 |
| **CC-BY-NC-4.0** | ❌ | ✅ | ✅ | ✅ | ❌ | ❌ | **禁止商用** |
| **CC-BY-NC-SA** | ❌ | ✅ | ✅ | ✅ | 同协议 | ❌ | **禁止商用** |
| **CC0 / Unlicense** | ✅ | ✅ | ✅ | 不需要 | ❌ | ❌ | 最低 |
| **无 LICENSE 文件** | ⚠️ | ⚠️ | ⚠️ | — | — | — | **默认保留所有权利** |

---

## 二、无 LICENSE 的处理

**默认规则：没有许可证 = 保留所有权利（All Rights Reserved）。**

这意味着：
- 严格意义上，他人无权复制、修改、分发
- 用户自己用（本地运行）通常不构成侵权
- 但把它嵌进商业产品或对外服务，存在法律风险

**报告写法**：
> 未发现 LICENSE 文件。按著作权法默认规则，视为保留所有权利。个人本地使用风险较低，商用或二次分发建议联系作者取得授权。

---

## 三、必须单独核查的四类内容

许可证只管代码，不管资产。以下四类经常被漏查：

### 1. 字体

**风险**：skill 内嵌或下载的字体，可能有独立的商业授权。

**常见场景**：品牌 logo 矢量化、海报生成、字幕渲染类 skill 会用到字体文件。

**核查点**：`assets/*.ttf` `*.otf` `*.woff` 是否存在；`NOTICE` / `LICENSES/` 目录是否声明；字体名称是否为商业字体（如方正、汉仪、微软雅黑）。

**风险等级**：字体侵权是实务中最常见的索赔类型之一。

### 2. 模型权重

**风险**：模型有自己的许可协议，与 skill 的代码许可证无关。

**常见限制**：禁止商用、需署名、需遵守使用政策（如不得用于医疗诊断）。

**核查点**：skill 内是否下载或引用模型权重；是否说明模型来源与协议。

### 3. 素材 / 音效 / 音乐

**风险**：素材站点的授权范围通常限于个人使用，不得再分发。

**核查点**：`assets/` 下是否有图片、音频；是否说明来源。

**加分项**：明确声明「所有素材由程序生成，无第三方授权问题」的 skill，风险最低。

### 4. 训练数据 / 知识库

**风险**：skill 内含的行业知识库可能有自己的版权归属。

**核查点**：`references/` 中的知识内容是否来自受版权保护的出版物；是否标注来源。

---

## 四、许可证识别方法

静态审计按以下顺序识别：

1. 查找 `LICENSE` / `LICENSE.md` / `LICENSE.txt` / `COPYING`
2. 提取前 20 行，匹配关键词：
   - `MIT License` → MIT
   - `Apache License` + `Version 2.0` → Apache-2.0
   - `GNU GENERAL PUBLIC LICENSE` + `Version 3` → GPL-3.0
   - `GNU AFFERO` → AGPL-3.0
   - `Creative Commons` + `NonCommercial` → CC-BY-NC
   - `Mozilla Public License` → MPL-2.0
3. 查 `package.json` 的 `license` 字段、`pyproject.toml` 的 `license` 字段
4. 查 SKILL.md frontmatter 的 `license` 字段
5. 三处不一致 → 以 LICENSE 文件为准，并在报告中标注冲突

---

## 五、报告输出格式

必须包含这一段（不可省略）：

```
## 许可证
- 类型：MIT
- 商用：允许
- 修改：允许
- 分发：允许
- 条件：保留版权声明与许可声明
- 附加核查：
  - 字体：assets/SourceHanSans.ttf —— 思源黑体，SIL OFL 1.1，可商用 ✅
  - 模型权重：无
  - 素材：assets/drawing-hand.png —— 来源未说明 ⚠️
- 冲突提示：SKILL.md 写 MIT，LICENSE 文件为 Apache-2.0 → 以 LICENSE 为准
```

**若无法识别类型**：
```
- 类型：未知（未找到 LICENSE 文件）
- 商用：不建议
- 建议：联系作者确认授权范围
```