大量的人认定形如TP这般的开源协议检测工具，鉴于其背后存在官方组织予以维护，便必然是开源软件。实际上，TP官方并未将其核心代码予以开放，它仅仅是一项在线服务，并非开源项目。
误解的来源
常常大家会不由自主地将“免费”与“开源”画上了等号。以TP官方来讲，它确实给用户提供了免费查询协议、查看风险的便利，然而这实际上就跟使用免费邮箱一样，能免费使用并不代表邮箱的代码是公开的。我自己起初也犯过这样的错误，那时满心想着能找到相关开源代码，于是在GitHub上翻了很久，结果只找到了第三方封装接口的脚本，而核心引擎却根本不见踪迹啊。
对开发者的实际影响
这表明你没办法将TP置于公司内网之中，一切检测都得经由他们的服务器。对于安全性要求较高的项目而言，这存在数据外泄的风险。我们团队去年对自建方案进行了评估，最终只能采用开源替代品Scancode来搭建内部服务。
目前可行的方案
继续选用TP的在线版且接受其相应条款，或者采用完全开源的Licensee、FOSSology。不存在一种处于中间的“官方开源版”的选项，若要进行确认，直接前往TP官网查看footer部分，上面写着“All Rights Reserved”，这已然说明了所有情况。
难道你是鉴于合规审计而需要开源方案，又或者仅仅是妄图白嫖呢？在评论区阐述一下你的使用场景吧。
