Инструмент с 45 тысячами звёзд. Открытый исходник, живой репозиторий, все хвалят. Берём в продукт?

Лицензия AGPL-3.0. Это значит: если вы крутите его внутри сервиса, доступного пользователям по сети - а это любая ваша платформа - вы обязаны открыть исходники всей системы. Не куска с этой библиотекой, а именно всей.

Рядом лежит второй инструмент, 55 тысяч звёзд. Тоже «опенсорс» на первый взгляд. Читаем лицензию: бесплатно физлицам и компаниям до трёх сотрудников включительно. От четвёртого человека - платная корпоративная лицензия, 25 долларов за место, минимум сто в месяц. Отдельным пунктом запрещено делать и продавать производные.

Оба инструмента отличные. Оба я использую. Но по-разному: локально для своих задач - свободно, внутрь клиентского продукта - нельзя.

Что из этого следует практически.

Проверять лицензию нужно вместе со звёздами, в тот же момент, а не когда продукт уже написан. В ответе GitHub API есть поле license. Если там NOASSERTION - значит лицензия нестандартная и её надо читать руками, там и находится самое интересное.

Звёзды измеряют популярность. Они ничего не говорят о том, можете ли вы это использовать в своём случае.

Самое дорогое, что я видел - когда лицензионное ограничение всплывает на стадии, где переписывать уже больно. Тогда начинается «а может, как-нибудь обойти». Обходить не надо, надо искать замену с разрешительной лицензией. Это дешевле.

Проверяете лицензию до внедрения или после?