# 开源发布与网络服务核对清单

版本：v0.1　｜　日期：2026-10-29　｜　适用：M02 开源合规　｜　本清单不构成法律意见

本清单用于软件产品、容器镜像、SDK、设备固件、浏览器端交付物和网络服务上线前的开源义务核对。它不替代《开源引入与发布审批表》，也不替代对实际发布产物的检查。每个项目都要填写「适用／不适用及理由」「责任人」「证据位置」「结果」；不适用的项目也必须写明理由，不能留空。

## 一、本次发布基本信息

| 项目 | 填写内容 |
| --- | --- |
| 产品／服务名称 |  |
| 本次发布版本／部署版本 |  |
| 交付物清单 | 安装包／容器镜像／SDK／设备固件／浏览器脚本／WASM／源码包／仅服务端部署 |
| 上线范围 | 内部／客户／公众／特定区域或渠道 |
| 交付对象与主体边界 | 客户、关联公司、外包商、公众；是否同一法人内部 |
| SBOM 版本 | SBOM-____-____-____ |
| 关联审批单 ID | APR-____；多个以逗号分隔 |
| 发布负责人／日期 |  |
| 法务复核人／日期 |  |

## 二、使用说明

1. **先定范围和版本。** 本次发布的产品版本、交付物和上线范围必须唯一；同一版本变更交付物或部署方式时重新核对。
2. **逐项判断适用性。** 在「适用性及理由」中勾选「适用」或「不适用」，并写明事实理由。不能因为项目麻烦就勾「不适用」。
3. **证据要可打开。** 「证据位置」写仓库路径、归档目录、URL、构建号或文件校验值，不写「见邮件」「问某人」。
4. **结果只填四种。** 通过、不通过、未验证、不适用。没有实际检查的写「未验证」，不能写「通过」。
5. **附条件通过要闭环。** 审批表中的未完成条件必须在本清单逐条对应；条件未关闭前不得发布。
6. **SBOM 对外范围单独判断。** 本清单核对的是内部台账是否完整，不等于要把完整 SBOM 对外公开；对外提供范围按合同、客户要求和披露策略另行决定。

## 三、发布核对表

### 1. 版本与范围

| 编号 | 核对项 | 适用性及理由 | 责任人 | 证据位置 | 结果 |
| --- | --- | --- | --- | --- | --- |
| 1.1 | 本次产品版本、交付物和上线范围已确认，与审批表、SBOM 中的版本一致 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 1.2 | 交付对象和主体边界已确认；关联公司、外包商、客户现场部署是否构成向其他主体交付副本已分析 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |

### 2. 组件与许可路径

| 编号 | 核对项 | 适用性及理由 | 责任人 | 证据位置 | 结果 |
| --- | --- | --- | --- | --- | --- |
| 2.1 | 直接依赖和传递依赖均已登记；组件 ID、精确版本／提交、来源和校验值与实际产物一致 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 2.2 | 许可表达式、许可证版本和所选许可路径有包内 LICENSE、文件头、NOTICE、上游仓库或官方说明支持；OR／AND 与实际选择分开记录 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 2.3 | 商业许可或其他替代授权已核对覆盖版本、模块、期限和包来源；商业路径未继续机械套用未触发的开源条件 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |

### 3. 声明与文件

| 编号 | 核对项 | 适用性及理由 | 责任人 | 证据位置 | 结果 |
| --- | --- | --- | --- | --- | --- |
| 3.1 | 许可证副本、版权声明和修改标识已放入正确位置；修改文件有显著变更说明 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 3.2 | 适用的 NOTICE、第三方声明和署名已包含在 NOTICE、文档或产品展示中；没有遗漏上游要求的段落 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |

### 4. 源码与履行方式

| 编号 | 核对项 | 适用性及理由 | 责任人 | 证据位置 | 结果 |
| --- | --- | --- | --- | --- | --- |
| 4.1 | GPL／LGPL 源码包、书面要约或网络获取方式已核对；源码版本、修改和构建脚本与实际发布版本对应 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 4.2 | LGPL 库替换或重链接机制已验证：共享库机制可用，或已提供重链接材料；适用的安装信息已提供；EULA、应用商店规则、DRM 或签名启动未限制许可证权利 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 4.3 | 修改 AGPLv3 网络服务的源码入口显著，所有远程交互用户均可免费获取（可沿用服务登录，不附加审批／保密要求），材料对应实际运行版本；内部远程用户未被排除 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |

### 5. Qt／PySide6 专项

| 编号 | 核对项 | 适用性及理由 | 责任人 | 证据位置 | 结果 |
| --- | --- | --- | --- | --- | --- |
| 5.1 | 已按实际 Qt 版本和模块清单核对许可；没有把整个 Qt 一概认定为 LGPL；GPL-only 模块已识别并处理 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 5.2 | 商业包来源（Qt Account／Qt Installer／qtpip）和授权覆盖范围已核对；没有误用 `pip install pyside6` 社区版；ADP／ADE／DCP／DCE 的模块差异已确认 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 5.3 | Qt for Python 实际带入的第三方组件及其独立许可已核对，声明和 NOTICE 已包含 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |

### 6. 例外、追溯与披露

| 编号 | 核对项 | 适用性及理由 | 责任人 | 证据位置 | 结果 |
| --- | --- | --- | --- | --- | --- |
| 6.1 | 未完成条件、未知许可、证据缺失项和来源冲突已明确处置：关闭、升级审查或拒绝发布；没有用「未知」替代法律结论 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 6.2 | 发布产物、审批单、SBOM、声明和源码材料能够相互追溯：产品版本 → 组件 ID → 审批单 ID → 证据位置 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |
| 6.3 | SBOM 对外提供范围已单独判断；没有默认公开完整内部台账，也没有把内部台账完整性等同于对外披露义务 | □适用　□不适用　理由： |  |  | □通过　□不通过　□未验证　□不适用 |

## 四、模拟案例对照

以下仅用于走查清单是否覆盖四例，不对应真实发布。真实发布时不需要填写本节。

| 案例 | 必须实际检查的关键项 | 对应清单编号 | 走查结果 |
| --- | --- | --- | --- |
| EX-01 Apache-2.0 随闭源安装包分发 | 发布目录中存在 Apache-2.0 许可证副本；NOTICE 含上游相关署名；修改文件有变更标识；未使用上游商标作背书 | 3.1、3.2、6.2 | □通过　□未验证 |
| EX-02 GPLv3 工具仅内部修改运行 | 主体边界和部署记录证明无对外副本；修改文件和源码归档完整；出现客户镜像即重新审批 | 1.2、2.1、4.1 | □通过　□未验证 |
| EX-03 LGPLv3 库随闭源客户端动态链接 | 实际执行替换库启动验证；Qt／PySide6／Shiboken 随包库源码包与运行版本对应；EULA 无冲突；无 GPL-only 模块；第三方声明完整 | 4.1、4.2、5.1—5.3 | □通过　□未验证 |
| EX-04 修改 AGPLv3 网络服务 | 源码入口对所有远程交互用户可访问、免费；源码包对应部署提交；修改文件齐全；内部远程用户也可获取 | 4.3、6.2 | □通过　□未验证 |

## 五、结论与签署

| 项目 | 填写内容 |
| --- | --- |
| 核对结论 | □通过　□附条件通过　□不通过 |
| 未完成条件（逐条编号、责任人、期限、验证方式） |  |
| 发布决定 | □同意发布　□条件关闭后发布　□不发布 |
| 研发负责人／签字／日期 |  |
| 法务复核／签字／日期 |  |
| 产品／业务负责人／签字／日期 |  |
| 发布批准人／签字／日期 |  |

**附条件通过的处理：** 只有本清单中对应条件全部改为「通过」，并经法务复核后，才能把发布决定改为「同意发布」。条件关闭的证据要附在本次发布归档中，不能只改状态。

## 六、版本与维护

| 版本 | 日期 | 变更 |
| --- | --- | --- |
| v0.1 | 2026-10-29 | 首版。按分发、修改、网络交互三条事实轴设置核对项，覆盖 Qt 专项、AGPLv3 §13、LGPL 重链接和 SBOM 追溯。 |

维护规则：许可证条款、审批表字段或 SBOM 结构变化时同步修订本清单；仅文字调整可升次版本。验收修订：澄清 AGPL 获取对象、LGPL 随包库源码范围。历史版本由 Git 保留，当前下载只提供本版本。