代码所有权体检（Java 版）· Code Ownership Audit for Java

判定 Java 代码是原创还是演绎作品 —— 给出与上游最长相同表达片段、逐条豁免依据和风险清单。

本仓库同时提供 Agent Skill 和 DSH Plugin 两种安装方式，共享同一套审计引擎。 审计引擎用 JavaParser 做 AST 静态分析，JavaParser + Jackson 已 shade 进 audit.jar，零装包、不联网、不调模型——你的代码不出本机。

✅ 收费闭环已上线：每次解锁完整报告 ¥0.99（高于 Python 版 ¥0.2），通过支付宝 x402 预言机 https://pay.seika.ltd/api/audit 按次付费。预览层免费、无限次。

它解决什么问题

你引入了一段开源 Java 代码，改了改，现在它算谁的？

• 法律上，"改过"不等于"是我的"。 演绎作品（derivative work）仍受上游许可证约束。
• AI 大量生成代码后，这个问题变得更普遍。 你可能根本不知道某段实现和上游有多像。
• 交付给甲方时，把演绎作品当自有资产声明，是实打实的风险。

这个工具：把你的代码和上游逐个 AST 节点比，告出最长的相同表达片段，并对每条风险给出豁免依据 （是通用惯用法？是接口约定必然形状？还是真的抄了表达）。

典型场景

• 引入开源 Java 代码后，确认法律上还算不算自己的
• 净室重写（clean-room rewrite）后，验证是否真的切断了上游
• 交付前自查，避免把演绎作品当自有资产
• 合并外部贡献（PR）时确认来源干净

判定阈值不是拍脑袋定的

阈值基于 363 个真实净室重写模块实测校准 —— 既要能抓出真抄袭，又不能把 for (int i = 0; i < n; i++) 这种全世界都这么写的句子报成风险。

两种安装方式

同一套审计引擎（audit.jar），两种装载形态，按你的 Agent 支持情况选：

两者互不干扰，DSH 用户想走 skill 路径也可以。

Agent Skill（Claude Code / Codex / Cursor / opencode / Hermes / WorkBuddy 等）

对你的 Agent 说一句话就行：

请把 https://github.com/ffseika0304/code-ownership-audit-java 安装为 skill

它会自己 clone 到对应的 skills 目录。之后直接说：「帮我做个代码所有权体检」。

git clone https://github.com/ffseika0304/code-ownership-audit-java.git \
  ~/.agents/skills/code-ownership-audit-java

DSH Plugin（DeepSeek Harness）

dsh plugin --profile web add github:ffseika0304/code-ownership-audit-java

安装后重启 profile 让 bundle 层生效：

dsh --profile web

技能随即出现在模型可见的技能目录里，遇到「这段代码算不算抄的」这类场景会自动加载，也可以直接点名： 「用 code-ownership-audit-java 检查 ./my-code 相对 ./upstream 的所有权情况」

# 锁定 commit（推荐，DSH 仍是 developer preview）
dsh plugin --profile web add "github:ffseika0304/code-ownership-audit-java#<sha>"

# 本地目录（开发调试）
dsh plugin --profile web add link:/absolute/path/to/code-ownership-audit-java

# 卸载 / 更新
dsh plugin --profile web remove code-ownership-audit-java
dsh plugin --profile web update code-ownership-audit-java

直接命令行用

# 免费预览：风险数量 + 类型分布 + 一句话摘要（全程离线）
java -jar audit.jar run <你的代码目录> --reference <上游目录> --out-dir ./out

# 之后用 ./out/preview.md 看免费报告；决定付费后：
java -jar audit.jar request-402 --out ./out/bill.json

目标和参照都可以是单个 .java 文件或整个目录。

两档报告

预览档在代码层就不构造行号与建议字段，不是前端隐藏 —— 说到做到。

关于"付费解锁的到底是什么"

说实话：完整报告是在你本机算出来的。付费解锁的不是"计算结果"， 而是带服务器 RSA2 签名的认证交付物 certified.json / certified.md —— 用来证明这次审计确实付费执行过，可存档、可交给甲方、可离线复验签名。

本地执行架构下，技术上懂行的人当然能直接跑 run 拿全量。这是"本地执行"的必然， 我们没有加壳也没有混淆 —— 代码保持干净可读。定价逻辑落在凭证价值上， 而 ¥0.99 这个价格本身就让绕过这件事不值得。

付款怎么走（x402）

完整报告走 x402 协议，用支付宝 AI 钱包付款。买家侧若还没有钱包 CLI：

npx -y @alipay/agent-payment@latest install-experience
alipay-bot check-wallet     # 自检

服务端是纯支付预言机：只验钱、签发回执，不接收也不存储你的任何代码。 回执用内嵌公钥（Paygate.SERVER_PUBKEY_PEM）离线验签，任何字段被篡改都会失败。

完整流程：

java -jar audit.jar run <你的代码> --reference <上游> --out-dir ./out
java -jar audit.jar request-402 --out ./out/bill.json
alipay-bot 402-buyer-pay --file ./out/bill.json \
  --resource-url "https://pay.seika.ltd/api/audit" --method POST \
  --intent-summary "解锁 Java 代码所有权体检完整报告"
# 扫码付款不返回 proof，必须再跑这条取回执：
alipay-bot 402-query-payment-status --trade-no <交易号> \
  --resource-url "https://pay.seika.ltd/api/audit" --method POST --data '{}'
java -jar audit.jar verify --receipt ./out/receipt.json   # → RECEIPT_VALID
java -jar audit.jar embed  --report ./out/full.json \
  --receipt ./out/receipt.json --out ./out/certified.json

依赖

运行环境与权限

测试

mvn -B test     # 13 项 JUnit（literal / structural / preview 剥离 / verify 验签 / embed 认证）

协议

MIT

_{本工具给出的是技术事实（哪些表达相同、相同到什么程度），不构成法律意见。最终的许可证判断请咨询专业人士。}

_{本项目为社区开源项目，与 DeepSeek AI 无隶属关系，非官方插件。}