代码所有权体检 · Code Ownership Audit

判定 Python 代码是原创还是演绎作品 —— 给出与上游最长相同表达片段、逐条豁免依据和风险清单。

🥇 纯 AST 静态分析，零第三方依赖，代码不出本机 🥇

简体中文 · English

GitHub（主源） · Gitee（国内镜像）

安装 · 使用 · 定价 · 国内加速 · 反馈问题

你引入了一段开源代码，改了改，现在它算谁的？

• 法律上，"改过"不等于"是我的"。 演绎作品（derivative work）仍受上游许可证约束。
• AI 大量生成代码后，这个问题变得更普遍。 你可能根本不知道某段实现和上游有多像。
• 交付给甲方时，把演绎作品当自有资产声明，是实打实的风险。

这个工具做的事：把你的代码和上游逐个 AST 节点比，告出最长的相同表达片段，并对每条风险给出豁免依据（是通用惯用法？是接口约定必然形状？还是真的抄了表达）。

Highlights

🥇 纯 AST 静态分析，不联网、不调模型。 审计引擎只用 Python 标准库 —— 你的代码不出本机，不存在隐私泄露。

🥇 两种安装方式，同一套引擎。 Agent Skill 和 DSH Plugin 共享 audit.py，按你的 Agent 支持情况选。

🥇 两档报告，预览免费不限次。 免费档给出风险总数、类型分布、一句话摘要；完整档 ¥0.2/次，含行号、修复建议、服务器签名审计凭证。

🥇 x402 协议付款。 服务端是纯支付预言机：只验钱、签发回执，不接收也不存储你的任何代码。回执用内嵌公钥离线验签。

🥇 31 项测试覆盖。 python -m pytest -q 一键跑完，全部通过再发版。

国内加速

本仓库主源在 GitHub，国内用户可通过 Gitee 镜像加速访问：

两种安装方式

同一套审计引擎（audit.py），两种装载形态，按你的 Agent 支持情况选：

两者互不干扰，DSH 用户想走 skill 路径也可以。

Agent Skill（Claude Code / Codex / Cursor / opencode / Hermes / WorkBuddy 等）

对你的 Agent 说一句话就行：

请把 https://github.com/ffseika0304/code-ownership-audit 安装为 skill

它会自己 clone 到对应的 skills 目录。之后直接说：「帮我做个代码所有权体检」。

国内加速安装：

git clone https://gitee.com/seikabook/code-ownership-audit.git \
  ~/.agents/skills/code-ownership-audit

DSH Plugin（DeepSeek Harness）

dsh plugin --profile web add github:ffseika0304/code-ownership-audit

安装后重启 profile 让 bundle 层生效：

dsh --profile web

技能随即出现在模型可见的技能目录里，遇到「这段代码算不算抄的」这类场景会自动加载，也可以直接点名： 「用 code-ownership-audit 检查 ./my-code 相对 ./upstream 的所有权情况」

# 锁定 commit（推荐，DSH 仍是 developer preview）
dsh plugin --profile web add "github:ffseika0304/code-ownership-audit#<sha>"

# 本地目录（开发调试）
dsh plugin --profile web add link:/absolute/path/to/code-ownership-audit

# 卸载 / 更新
dsh plugin --profile web remove code-ownership-audit
dsh plugin --profile web update code-ownership-audit

快速使用

# 免费预览：风险数量 + 类型分布 + 一句话摘要
python audit.py <你的代码> --reference <上游代码> --tier preview

# 完整报告：代码位置 + 行号 + 修复建议
python audit.py <你的代码> --reference <上游代码> --tier full

目标和参照都可以是单个 .py 文件或整个目录。

两档报告

预览档在代码层就不构造行号与建议字段，不是前端隐藏 —— 说到做到。

关于"付费解锁的到底是什么"

说实话：完整报告是在你本机算出来的。付费解锁的不是"计算结果"， 而是带服务器 RSA2 签名的认证交付物 certified.json / certified.md —— 用来证明这次审计确实付费执行过，可存档、可交给甲方、可离线复验签名。

技术上懂行的人当然可以直接跑 --tier full 拿全量。这是"本地执行"架构的必然， 我们没有加壳也没有混淆 —— 代码保持干净可读。定价逻辑落在凭证价值上， 而 ¥0.2 这个价格本身就让绕过这件事不值得。

付款流程（x402）

完整报告走 x402 协议，用支付宝 AI 钱包付款。买家侧若还没有钱包 CLI：

npx -y @alipay/agent-payment@latest install-experience
alipay-bot check-wallet     # 自检

付款时依次执行两条命令（两条都要跑，只跑第一条拿不到凭证）：

# 第 1 步：扫码付款
alipay-bot 402-buyer-pay --file <payment_needed.json>

# 第 2 步：查询支付状态，取回 proof + 签名回执
alipay-bot 402-query-payment-status --trade-no <交易号>

服务端是纯支付预言机：只验钱、签发回执，不接收也不存储你的任何代码。 回执用内嵌公钥（paygate.SERVER_PUBKEY_PEM）离线验签，任何字段被篡改都会失败。

依赖

运行环境与权限

测试

python -m pytest -q     # 31 项（14 项功能测试 + 17 项结构测试）

仓库结构

code-ownership-audit/
├── audit.py            # 审计引擎（741 行纯 Python AST 分析）
├── paygate.py          # 付费网关（x402 协议 + pycryptodome 验签）
├── SKILL.md            # Agent Skill 入口
├── index.js            # DSH Plugin 入口（纯 ESM，零依赖）
├── cordis.patch.yml    # DSH 插件声明
├── dsh-plugin.json     # DSH 插件元数据
├── package.json        # npm 元数据（仅用于 DSH 插件发现）
├── icon.png            # 插件图标（PNG）
├── icon.svg            # 插件图标（SVG）
├── test_audit.py       # 14 项功能测试
├── test_structural.py  # 17 项结构测试
├── LICENSE             # MIT
└── .gitignore

常见场景

• 引入开源代码后，确认法律上还算不算自己的
• 净室重写（clean-room rewrite）后，验证是否真的切断了上游
• 交付前自查，避免把演绎作品当自有资产
• 合并外部贡献（PR）时，确认来源干净

Star History

Disclaimer

本工具给出的是技术事实（哪些表达相同、相同到什么程度），不构成法律意见。 最终的许可证判断请咨询专业人士。

本项目为社区开源项目，与 DeepSeek AI 无隶属关系，非官方插件。

License

MIT