"源码是 MIT 的，所以整仓随便商用"——这是开源选型里最常见也最贵的误读。本文以一个 AI 姿势参考图库项目（累计 4693 星）的静态取证为例，演示一套可复用的开源评测方法：固定 commit 逐文件复核、把代码、素材、接线三本账分开记、盯住静默行为。方法本身比结论更值钱。
评测方法：先固定证据再下结论
第一步是锁定快照：记下仓库地址、代码 commit、取证日期。不锁版本的评价等于评价一个移动靶——开源项目README 天天变，今天拆的代码明天可能就重构了。
第二步是有界检出：不下载全量，只检出有代表性的文件（本项目 28 个），逐文件做 Git blob 与 SHA-256 复核，保证拆解的就是这份 commit 里的代码。复核动作本身可以脚本化：
# 逐文件核对 blob 哈希，任何不一致立即中断
for f in $(cat checked_files.txt); do
blob=$(git rev-parse "HEAD:$f")
hash=$(git cat-file blob "$blob" | sha256sum | cut -d' ' -f1)
[ "$hash" = "$(grep "$f" hash_expect.txt | cut -d' ' -f2)" ] \
|| { echo "MISMATCH: $f"; exit 1; }
done
对素材规模这类作者声明数字（如 4345 条参考数据、8690 张图），一律标注"声明值，未复算"——评测的可信度恰恰建立在分清"我验证了什么"和"作者说了什么"上。
第三步是诚实声明执行边界：不启动模型、不上传图片、不跑 ComfyUI，就明确写"未运行、不判定兼容性"。代码存在与代码可用是两个结论，混着写就是假阳性。
三本账分开记
代码账：React/TypeScript 前端 + 浏览器扩展数据访问层 + ComfyUI Python 节点 + 服务端代理。核对确认同一份图库数据确实被两种消费方式复用——前端工作台和 ComfyUI 节点双侧实现都存在，接线位置清楚。
素材账：这是最大红线。源代码有限范围 MIT，图片与原始数据不适用 MIT，含不得商用条款。直接把仓库素材打包进商业产品就是侵权，代码 MIT 救不了素材。任何"图库类"开源项目都要单独查素材权利声明，这一步没有例外。
接线账：外部请求走服务端代理与 worker，第三方模型与云协议 API 的调用链路要理清——调谁、传什么、费用谁出。前端 IndexedDB 存本地生成历史，属于低风险，但存储失败时的静默行为要专门观察：写入失败是否有用户可见反馈，还是悄悄丢数据。
静默行为观察清单
评测里最容易被跳过、又最容易出事的部分：
- 本地存储失败反馈：IndexedDB 写入失败（配额满、隐私模式）时应用是提示还是静默降级；
- 外部请求链路透明度：发起哪些跨域请求、携带什么数据、失败后的行为；
- 内容合规面：素材类项目的未成年人保护、内容分级是否有机制；
- 费用与隐私：接第三方模型时 Key 谁提供、数据是否出本地。
落地建议
借鉴这类项目的正确姿势：拿工程结构，换授权素材。它的双端复用设计（一份数据同时服务 Web 与节点）值得学习，素材必须换成自己有权利的内容。上线前检查清单四条：素材授权逐项确认、本地存储失败路径实测、外部请求链路白名单化、合规面按发布地区复核。
这个案例的普适教训：开源许可证的适用范围按"仓库里的东西"逐项划分——代码、图片、数据、模型权重各有各的授权。看 LICENSE 文件只解决了第一项。评测结论要跟着 commit 走，商用决策要跟着素材授权走，两本账混在一张纸上，迟早出事。
评论0