开源是怎么赚钱的：许可证、开放核心与"云吸血"之争
最后更新：2026-09-16
本文是产业观察的一篇。开源软件免费、源码公开，那写它的公司和程序员靠什么活？为什么 Redis、Elasticsearch、MongoDB、Terraform 这些著名项目会一次次"修改许可证"，甚至引发社区分叉（fork）？本文不讲具体开源协议的逐条法律文本，而是讲清开源背后的钱从哪来、谁在补贴谁、为什么许可证会成为商战武器。这和《从卖盒子到卖 Token》的云商业模式、RISC-V 免费指令集的"免费契约 + 收费实现"逻辑一脉相承。技术选型与工程实践见工程实践目录，数据库主题见数据库目录。
先说结论
- 开源免费的是"代码这一份拷贝"，不是开发、维护、信任和生态。 写软件的成本（工程师工资、长期维护、安全响应、兼容性保障）一点没消失，只是付费方式从"卖许可证"换成了别的：服务、双许可、托管 SaaS、周边商业版、战略卡位。理解开源，要先把"免费使用"和"谁为创造与维护买单"分开。
- 主流可持续模式是"开放核心（open core）"：核心开源引流，增值层收费。 开源版拿下开发者心智和事实标准地位，企业版/云托管卖安全合规、管理控制台、企业连接器、SLA 支持。开源是获客与标准武器，不是利润中心本身。
- "云吸血"之争的本质是价值分配。 大型云厂商把热门开源项目做成一键托管服务赚钱，却不投入等量研发，开源原创公司觉得自己"种地、别人收租"。SSPL、BSL、Elastic License、各厂商自制"源码可用"许可证，都是想堵死"只拿不哺"的云转售——但代价是不再满足 OSI 开源定义、可能引发社区分叉。
- 改许可证是把双刃剑，且会周期性反复。 收紧能保住直接商业利益，却削弱"开源"的信任与贡献，常逼出社区分叉（如 Redis→Valkey、Elastic→OpenSearch、Terraform→OpenTofu）。能否守住，取决于原创公司是否仍握着主要贡献者、品牌与生态。对工程师而言，看懂许可证不再只是法务问题，它直接影响技术选型的长期风险。
一句话：开源不是一种慈善，而是一种以"免费代码"换取采用率、生态标准和信任，再在其上用服务、企业版和托管变现的商业安排；当云厂商能绕过原创者直接收租，许可证就从技术约定变成了价值争夺的战场——免费的午餐背后，总有人在为创造与维护付费，问题只是钱以什么形式、流到谁手里。
一、先分清：免费、开源、自由软件不是一回事
讨论赚钱之前，先厘清常被混用的概念：
- "免费（free as in free beer）"：不收钱拿到一份可用的软件，但未必给你源码、未必允许修改再分发。
- "开源 / 自由软件（free as in freedom）"：不仅能免费用，还能看源码、修改、再分发，但不同许可证附加的义务差别巨大。
- OSI 开源定义有一系列严格条件（不得歧视使用者/领域、不得限制同介质其他软件等）。近些年很多项目改的"源码可见（source-available）"许可证（SSPL、BSL、Elastic License 等）严格说已不是 OSI 认证的开源，只是源码能看——这个区别是后面所有争议的关键。
常见许可证从宽松到严格，构成一个谱系：
| 许可证 | 特点 | 对商业利用的约束 |
|---|---|---|
| MIT/Apache/BSD | 宽松（permissive） | 几乎随便用，可闭源商用，保留声明即可 |
| GPL（copyleft） | 传染性 | 衍生作品以同类协议开源 |
| AGPL | 网络版 GPL | 通过网络提供服务也触发开源义务（堵 SaaS 漏洞） |
| SSPL（MongoDB 起） | 源码可见 | 提供该软件的公开服务，须开源整套服务栈——实际封杀托管转售 |
| BSL（Business Source） | 时限转开源 | 初期限制商业竞争用途，数年后自动转开放许可证 |
| 厂商自制（Elastic/Confluent/HashiCorp 等） | 源码可见 | 禁止未经授权把它做成竞争托管产品 |
工程上常被忽略的一点是：选什么许可证本身就是一个商业决策。宽松许可证（Apache/MIT）最利于扩散和被大厂采纳，适合想做生态标准的项目（也常见于大厂主导、用来打击竞争对手的开源）；强 copyleft（GPL/AGPL）和源码可见许可证，则更能保护原创公司的商业利益。
二、开源的钱到底从哪来：几种主要模式
- 开放核心（open core）：最主流。基础版开源（占心智、拿采用、吸引贡献），企业版卖高可用、安全治理、多租户管理、企业集成、合规审计等"公司才需要"的能力。开源是漏斗顶端。
- 托管即服务（SaaS / managed cloud）：把开源项目运维好、做成弹性托管，按用量/订阅收费。客户买的是"不用自己搭、不用养团队、有 SLA"。这正是算力/软件效用化的一部分，也是云厂商和原创公司争夺最激烈的地方。
- 支持、咨询、认证、培训：早期开源公司（如 Red Hat）的经典路线，卖"确定性和责任"——企业要的是出了问题有人接电话、有合规背书。
- 双许可（dual licensing）与宿主机厂授权：同一软件，开源许可证免费、但条件苛刻（如 GPL 要求衍生开源），不愿开源的商业公司可付费买宽松的商业许可证；或由把软件预装到产品里的设备/芯片厂商付授权费。
- 战略补贴（大厂养开源）：云厂商、芯片公司、EDA/工具公司用开源建立或守护生态标准、降低平台门槛、打击对手——开源本身不赚钱，但它让公司主营的云、硅、服务更赚钱。这与RISC-V 大厂自研自用、国产软件生态策略逻辑相同。
- 基金会与捐赠：Apache/Linux 基金会等提供中立治理，厂商以"贡献工程师 + 会员费"方式供养，换取对标准的影响力。
三、"云吸血"之争：谁种地、谁收租
冲突在云时代集中爆发。剧本高度相似：
- 一家初创公司投入多年，做出优秀开源项目，开发者大量采用，社区繁荣；
- 大型云厂商把它做成"一键托管"的云服务，凭借客户关系、规模和捆绑销售获得大量收入；
- 原创公司认为：云厂商拿走了商业化果实，对上游代码贡献和成本投入却不成比例——俗称"云吸血（cloud parasitism）"；
四、为什么开源对大厂是"划算的战略"，而非慈善
跳出单一项目，开源在很多巨头那里是理性的商业武器，理解这点才能看懂"为什么有人愿意免费送掉值钱的代码"：
- 建立标准、压低互补品成本：把某个软件层开源做成事实标准，能让自己真正赚钱的层（云服务、芯片、平台、广告）更大。开放移动操作系统让没有操作系统的手机厂商和应用生态聚集，开源数据库/中间件让上云更顺滑。
- 打击在位者：当对手靠某个专有软件收费，开源一个"足够好的替代品"可以瓦解其定价权。
- 招募与信任：开源是最强的技术招聘广告和客户信任状；公开代码、接受社区检验，比任何白皮书都有说服力。
- 芯片/EDA 的生态卡位：新指令集（如 RISC-V）、新加速器、新互联，若没有软件生态支持就卖不动，开源工具链/参考实现是降低采用门槛、做大生态的必要投入（见 RISC-V 商业化、国产 AI 芯片的软件生态难题、国产 EDA 的全流程之问）。
- 数据与 AI 时代的新变体：开源模型/权重虽免费，真正稀缺的算力、数据、托管和企业渠道仍掌握在平台手里，"开源模型 + 收费托管/算力"正在重演开源软件的剧本（与卖 Token同源）。
所以"大厂养开源"不是矛盾，而是把研发投入计入了生态与获客成本，回报在别处兑现。
五、开放能赢，但中立治理同样值钱
并非所有故事都以"原创公司锁死"收场。基金会治理（Apache、Linux Foundation、CNCF 等）提供了另一条路：多方共有、公开技术治理、单一厂商不能随意改规则。它牺牲了某家公司的独占变现，换来企业用户最看重的中立性和可持续预期。这解释了为什么一旦项目许可证收紧、社区感到"不再中立"，基金会承接的分叉（Valkey、OpenTofu、OpenSearch）能迅速获得大厂支持——企业不愿把基础设施押在一个可能被单方更改规则的项目上。
对原创公司的启示是：开源的商业化必须和社区信任保持平衡。纯粹的善意养不活团队，但过度收割会杀死生态；做得好的公司往往在"开源核心足够强、企业增值足够值、治理足够可信"三者间走钢丝。
六、对工程师的启示
- 把许可证当技术选型因子：引入一个依赖前，看清楚它是 MIT/Apache（低风险）、GPL/AGPL（有传染义务）、还是近年厂商自制的"源码可见"许可证（可能随时变规则、甚至禁止商用托管），评估被分叉或停更的风险。
- 识别"谁在养活这个项目"：一个关键依赖背后是健康的多公司生态、单一商业公司、还是寥寥几个志愿者？这直接关系到它的长期安全（与供应链安全、关键基础设施维护者困境同源）。
- 职业机会判断：开放核心公司、云厂商开源团队、基金会生态岗位、围绕开源做托管/服务的厂商，提供了大量"既能写公开代码、又有商业回报"的工作。
- 个人品牌杠杆：参与有影响力的开源项目，是工程师少数能把作品公开、被全球同行检验、并跨公司携带的声誉资产。
- 商业素养：理解"免费不等于没成本"，在架构决策里把许可证、治理结构、供应链可持续性纳入风险评估，而不只是技术优劣。
相关与延伸
- 免费契约 + 收费实现的硬件版本：RISC-V 商业化
- 算力/软件效用化与托管：从卖盒子到卖 Token
- 开源生态对芯片/EDA 的战略意义：国产 EDA 的真实处境、国产 AI 芯片与算力管制
- 依赖与供应链风险：安全目录
- 数据库领域的开源/商业化：数据库目录
一句话总结：开源是"用免费代码换采用率与生态标准、再用企业版/托管/服务/双许可变现"的商业安排，钱从未消失只是换了形式；云厂商能绕过原创者直接收租，使许可证从技术约定变成价值争夺的战场——收紧能保命却可能逼出中立分叉，最终能持续的，是那些在开放生态、可信治理和合理变现之间走稳钢丝的项目，而工程师必须把许可证和"谁在维护它"当成和性能一样重要的选型指标。
- 原创公司于是修改许可证（GPL→AGPL→SSPL/BSL/自制许可证），禁止"只拿不哺"的托管转售；
- 云厂商与社区反弹，有时在最后一个真正开源版本上**分叉（fork）**继续中立发展。
代表性回合（时间线为事实，商业成败为判断）：
| 项目 | 动作 | 反弹/分叉 |
|---|---|---|
| MongoDB | 2018 改 SSPL，封杀托管转售 | 云厂商推兼容方案；MongoDB 转而做大 Atlas 托管 |
| Elasticsearch | 2021 改 Elastic License v2/SSPL | AWS 牵头 OpenSearch 分叉 |
| Redis | 2024 改 RSALv2/SSPL | Linux 基金会推出 Valkey 分叉，多家云跟进 |
| Terraform | 2023 改 BSL | 社区分叉 OpenTofu，并入 Linux 基金会 |
| Kafka/Cassandra 等 | Confluent/DataStax 等曾调整周边商业许可证 | 围绕"核心是否被污染"长期争论 |
这是一场"开放生态红利"与"原创公司生存权"之间的结构性张力：纯粹宽松开源最利于生态，却最难让主要创造者赚到钱；强收紧保护了收入，却动摇了开源最核心的信任与中立，可能把社区推向分叉。原创公司能否在收紧后仍赢，取决于它是否还握有主要 maintainer、品牌、迭代速度和企业客户信任——这些是分叉短期复制不了的。