开源项目的成败很少取决于代码质量，而取决于治理结构、许可证边界与社区能否持续供给贡献者。本专题面向项目维护者与开源办公室：治理范畴与角色划分、许可证合规流程、许可证兼容性与依赖传染、社区运营与贡献者漏斗、贡献者成长与留存、基金会中立托管模式、维护者倦怠与可持续性、项目健康度度量、Open Core 与双轨制商业化、漏洞响应与 CVE 流程、CLA 与 DCO 选择，以及企业内源与开源文化的联动。
📚 专题导览
本专题共 19 篇，前 12 篇按「概览 → 合规 → 社区 → 治理 → 度量 → 商业 → 安全 → 流程 → 组织」的顺序组织，后 6 篇为补充进阶内容（供应链 → 发布 → 文档 → 企业 → 度量 → 品牌），建议按表序通读：
| 阶段 | 文章 | 技术要点 |
|---|---|---|
| 概览 | 开源治理全景：从许可证到社区 | 开源治理范畴、许可证与社区双主线、项目角色划分 |
| 合规 | 开源许可证合规实战 | 主流许可证义务清单、合规流程、扫描与审计落地 |
| 合规 | 许可证兼容性与依赖传染分析 | 许可证兼容性矩阵、依赖传染、双许可与例外处理 |
| 社区 | 开源社区运营与贡献者漏斗 | 社区运营方法、贡献者漏斗、沟通渠道与行为准则 |
| 社区 | 贡献者成长路径与留存机制 | 新手友好议题设计、导师制、贡献者留存曲线 |
| 治理 | 开源基金会与中立治理模式 | 基金会模式对比、中立托管、商标与资产归属 |
| 治理 | 维护者倦怠与项目可持续性 | 维护者倦怠成因、继任计划、资助与赞助模式 |
| 度量 | 开源项目健康度度量 | CHAOSS 指标、活跃度与巴士系数、健康度看板 |
| 商业 | 开源商业化：Open Core 与双轨制 | Open Core 与双轨制、许可变更风险、商业化案例 |
| 安全 | 开源漏洞响应与 CVE 流程 | 漏洞报告与协调披露、CVE 申请、安全发布流程 |
| 流程 | CLA、DCO 与贡献者协议 | CLA 与 DCO 差异、签署流程、版权与专利授予 |
| 组织 | 企业内源与开源协作文化 | 内源模式、内部开源治理、与外部开源项目联动 |
| 供应链 | 软件供应链与 SBOM | SPDX/CycloneDX、SLSA 等级与构建溯源、依赖混淆与投毒、Sigstore 签名 |
| 发布 | 开源发布工程 | 语义化版本与兼容承诺、变更日志规范、制品签名、多平台构建与 LTS |
| 文档 | 开源文档体系 | Diátaxis 四象限、上手与教程设计、API 参考生成、国际化与文档即代码 |
| 企业 | 企业参与开源与 OSPO | OSPO 职能、上游优先、员工贡献合规、商业与社区边界、供应商开源评估 |
| 度量 | 开源度量与分析 | CHAOSS 指标、贡献者漏斗与留存、生态健康度、采集工具链与指标误用 |
| 品牌 | 开源商标与品牌治理 | 商标政策与使用指南、衍生发行版命名、基金会托管、品牌保护与执法 |
| 社区 | 开源项目首次贡献指南 | 11 个新手友好项目清单、good first issue 检索、贡献流程与礼仪、从提 issue 到首个 PR 的完整路径 |