代码所有权体检 · Code Ownership Audit

判定 Python 代码是原创还是演绎作品 —— 给出与上游最长相同表达片段、逐条豁免依据和风险清单。

🥇 纯 AST 静态分析，零第三方依赖，代码不出本机 🥇

简体中文 · English

GitHub（主源） · Gitee（国内镜像）

安装 · 使用 · 定价 · 国内加速 · 反馈问题

你引入了一段开源代码，改了改，现在它算谁的？

法律上，"改过"不等于"是我的"。 演绎作品（derivative work）仍受上游许可证约束。
AI 大量生成代码后，这个问题变得更普遍。 你可能根本不知道某段实现和上游有多像。
交付给甲方时，把演绎作品当自有资产声明，是实打实的风险。

这个工具做的事：把你的代码和上游逐个 AST 节点比，告出最长的相同表达片段，并对每条风险给出豁免依据（是通用惯用法？是接口约定必然形状？还是真的抄了表达）。

Highlights

🥇 纯 AST 静态分析，不联网、不调模型。 审计引擎只用 Python 标准库 —— 你的代码不出本机，不存在隐私泄露。

🥇 两种安装方式，同一套引擎。 Agent Skill 和 DSH Plugin 共享 audit.py，按你的 Agent 支持情况选。

🥇 两档报告，预览免费不限次。 免费档给出风险总数、类型分布、一句话摘要；完整档 ¥0.2/次，含行号、修复建议、服务器签名审计凭证。

🥇 x402 协议付款。 服务端是纯支付预言机：只验钱、签发回执，不接收也不存储你的任何代码。回执用内嵌公钥离线验签。

🥇 31 项测试覆盖。 python -m pytest -q 一键跑完，全部通过再发版。

国内加速

本仓库主源在 GitHub，国内用户可通过 Gitee 镜像加速访问：

用途	链接
仓库镜像	`https://gitee.com/seikabook/code-ownership-audit`
raw 直链	`https://gitee.com/seikabook/code-ownership-audit/raw/main/`
安装 Skill	`git clone https://gitee.com/seikabook/code-ownership-audit.git`

两种安装方式

同一套审计引擎（audit.py），两种装载形态，按你的 Agent 支持情况选：

	Agent Skill	DSH Plugin
形态	`SKILL.md` 技能目录	Cordis 模块，导出 `apply(ctx)`
装载	放进 Agent 的 skills 目录	`dsh plugin --profile web add`
入口文件	`SKILL.md`	`index.js` + `cordis.patch.yml`
适用	Claude Code / Codex / Cursor / opencode / Hermes / WorkBuddy 等	DeepSeek Harness
需要 Node.js	否	是（≥ 22）

两者互不干扰，DSH 用户想走 skill 路径也可以。

Agent Skill（Claude Code / Codex / Cursor / opencode / Hermes / WorkBuddy 等）

对你的 Agent 说一句话就行：

请把 https://github.com/ffseika0304/code-ownership-audit 安装为 skill

它会自己 clone 到对应的 skills 目录。之后直接说：「帮我做个代码所有权体检」。

国内加速安装：

▼
bash
复制代码
git clone https://gitee.com/seikabook/code-ownership-audit.git \
  ~/.agents/skills/code-ownership-audit

各 Agent 的 skills 目录

⚠️ 目录名必须是 code-ownership-audit —— opencode、Cursor 等要求目录名与 frontmatter 的 name 一致，改名会导致加载失败。

~/.agents/skills/ 是 opencode 与 Cursor 都识别的通用路径。其他位置：

Agent	全局	项目级
Claude Code	`~/.claude/skills/`	`.claude/skills/`
opencode	`~/.config/opencode/skills/`	`.opencode/skills/`
Cursor	`~/.cursor/skills/`	`.cursor/skills/`
Codex	`~/.codex/skills/`	`.codex/skills/`
Hermes	`~/.hermes/skills/`	—
WorkBuddy	`~/.workbuddy/skills/`	`.workbuddy/skills/`
DSH（零插件路径）	`~/.dsh/skills/`	`.dsh/skills/`

opencode 与 Cursor 同时兼容 .claude/skills/ 和 .agents/skills/，装一份即可被多个 Agent 共用。

DSH Plugin（DeepSeek Harness）

▼
bash
复制代码
dsh plugin --profile web add github:ffseika0304/code-ownership-audit

安装后重启 profile 让 bundle 层生效：

▼
bash
复制代码
dsh --profile web

技能随即出现在模型可见的技能目录里，遇到「这段代码算不算抄的」这类场景会自动加载，也可以直接点名： 「用 code-ownership-audit 检查 ./my-code 相对 ./upstream 的所有权情况」

锁版本 / 本地调试 / 卸载

▼
bash
复制代码
# 锁定 commit（推荐，DSH 仍是 developer preview）
dsh plugin --profile web add "github:ffseika0304/code-ownership-audit#<sha>"

# 本地目录（开发调试）
dsh plugin --profile web add link:/absolute/path/to/code-ownership-audit

# 卸载 / 更新
dsh plugin --profile web remove code-ownership-audit
dsh plugin --profile web update code-ownership-audit

插件层是纯 ESM JavaScript、零构建、零运行时依赖，因此不会触发 pnpm 的 allowBuilds 授权中断。

快速使用

▼
bash
复制代码
# 免费预览：风险数量 + 类型分布 + 一句话摘要
python audit.py <你的代码> --reference <上游代码> --tier preview

# 完整报告：代码位置 + 行号 + 修复建议
python audit.py <你的代码> --reference <上游代码> --tier full

目标和参照都可以是单个 .py 文件或整个目录。

两档报告

	免费预览	完整报告
价格	免费、不限次	¥0.2 / 次
风险总数与分级统计	✅	✅
风险类型分布	✅	✅
每条一句话摘要	✅	✅
代码位置 + 具体行号	—	✅
逐条修复建议	—	✅
可导出 md / json	—	✅
服务器签名审计凭证	—	✅
是否需要联网	完全离线	仅付款那一步

预览档在代码层就不构造行号与建议字段，不是前端隐藏 —— 说到做到。

关于"付费解锁的到底是什么"

说实话：完整报告是在你本机算出来的。付费解锁的不是"计算结果"，而是带服务器 RSA2 签名的认证交付物 certified.json / certified.md —— 用来证明这次审计确实付费执行过，可存档、可交给甲方、可离线复验签名。

技术上懂行的人当然可以直接跑 --tier full 拿全量。这是"本地执行"架构的必然，我们没有加壳也没有混淆 —— 代码保持干净可读。定价逻辑落在凭证价值上，而 ¥0.2 这个价格本身就让绕过这件事不值得。

付款流程（x402）

完整报告走 x402 协议，用支付宝 AI 钱包付款。买家侧若还没有钱包 CLI：

▼
bash
复制代码
npx -y @alipay/agent-payment@latest install-experience
alipay-bot check-wallet     # 自检

付款时依次执行两条命令（两条都要跑，只跑第一条拿不到凭证）：

▼
bash
复制代码
# 第 1 步：扫码付款
alipay-bot 402-buyer-pay --file <payment_needed.json>

# 第 2 步：查询支付状态，取回 proof + 签名回执
alipay-bot 402-query-payment-status --trade-no <交易号>

服务端是纯支付预言机：只验钱、签发回执，不接收也不存储你的任何代码。回执用内嵌公钥（paygate.SERVER_PUBKEY_PEM）离线验签，任何字段被篡改都会失败。

依赖

用途	依赖
审计引擎（免费档）	无 —— 只用 Python 标准库 `ast`
DSH 插件装载层	无 —— 纯 ESM JavaScript，零构建零依赖
付费档离线验签	`pycryptodome`
付费档付款	支付宝 AI 钱包 CLI

运行环境与权限

项目	说明
Python	≥ 3.9（审计引擎本体）
Node.js	≥ 22（仅 DSH 插件装载层需要）
网络访问	免费档零网络访问；仅付费档的付款那一步联网访问支付预言机
上传数据	none —— 代码不出本机
模型调用	none —— 不调用任何 LLM
文件写入	只写 `--out-dir` 指定的产物目录，不改动源码目录

测试

▼
bash
复制代码
python -m pytest -q     # 31 项（14 项功能测试 + 17 项结构测试）

仓库结构

▼
text
复制代码
code-ownership-audit/
├── audit.py            # 审计引擎（741 行纯 Python AST 分析）
├── paygate.py          # 付费网关（x402 协议 + pycryptodome 验签）
├── SKILL.md            # Agent Skill 入口
├── index.js            # DSH Plugin 入口（纯 ESM，零依赖）
├── cordis.patch.yml    # DSH 插件声明
├── dsh-plugin.json     # DSH 插件元数据
├── package.json        # npm 元数据（仅用于 DSH 插件发现）
├── icon.png            # 插件图标（PNG）
├── icon.svg            # 插件图标（SVG）
├── test_audit.py       # 14 项功能测试
├── test_structural.py  # 17 项结构测试
├── LICENSE             # MIT
└── .gitignore

常见场景

引入开源代码后，确认法律上还算不算自己的
净室重写（clean-room rewrite）后，验证是否真的切断了上游
交付前自查，避免把演绎作品当自有资产
合并外部贡献（PR）时，确认来源干净

Star History

Disclaimer

本工具给出的是技术事实（哪些表达相同、相同到什么程度），不构成法律意见。最终的许可证判断请咨询专业人士。

本项目为社区开源项目，与 DeepSeek AI 无隶属关系，非官方插件。

License

MIT

代码所有权体检 · Code Ownership Audit

判定 Python 代码是原创还是演绎作品 —— 给出与上游最长相同表达片段、逐条豁免依据和风险清单。

🥇 纯 AST 静态分析，零第三方依赖，代码不出本机 🥇

简体中文 · English

GitHub（主源） · Gitee（国内镜像）

安装 · 使用 · 定价 · 国内加速 · 反馈问题

你引入了一段开源代码，改了改，现在它算谁的？

法律上，"改过"不等于"是我的"。 演绎作品（derivative work）仍受上游许可证约束。
AI 大量生成代码后，这个问题变得更普遍。 你可能根本不知道某段实现和上游有多像。
交付给甲方时，把演绎作品当自有资产声明，是实打实的风险。

Highlights

🥇 纯 AST 静态分析，不联网、不调模型。 审计引擎只用 Python 标准库 —— 你的代码不出本机，不存在隐私泄露。

🥇 两种安装方式，同一套引擎。 Agent Skill 和 DSH Plugin 共享 audit.py，按你的 Agent 支持情况选。

🥇 两档报告，预览免费不限次。 免费档给出风险总数、类型分布、一句话摘要；完整档 ¥0.2/次，含行号、修复建议、服务器签名审计凭证。

🥇 x402 协议付款。 服务端是纯支付预言机：只验钱、签发回执，不接收也不存储你的任何代码。回执用内嵌公钥离线验签。

🥇 31 项测试覆盖。 python -m pytest -q 一键跑完，全部通过再发版。

国内加速

本仓库主源在 GitHub，国内用户可通过 Gitee 镜像加速访问：

用途	链接
仓库镜像	`https://gitee.com/seikabook/code-ownership-audit`
raw 直链	`https://gitee.com/seikabook/code-ownership-audit/raw/main/`
安装 Skill	`git clone https://gitee.com/seikabook/code-ownership-audit.git`

两种安装方式

同一套审计引擎（audit.py），两种装载形态，按你的 Agent 支持情况选：

	Agent Skill	DSH Plugin
形态	`SKILL.md` 技能目录	Cordis 模块，导出 `apply(ctx)`
装载	放进 Agent 的 skills 目录	`dsh plugin --profile web add`
入口文件	`SKILL.md`	`index.js` + `cordis.patch.yml`
适用	Claude Code / Codex / Cursor / opencode / Hermes / WorkBuddy 等	DeepSeek Harness
需要 Node.js	否	是（≥ 22）

两者互不干扰，DSH 用户想走 skill 路径也可以。

Agent Skill（Claude Code / Codex / Cursor / opencode / Hermes / WorkBuddy 等）

对你的 Agent 说一句话就行：

请把 https://github.com/ffseika0304/code-ownership-audit 安装为 skill

它会自己 clone 到对应的 skills 目录。之后直接说：「帮我做个代码所有权体检」。

国内加速安装：

▼
bash
复制代码
git clone https://gitee.com/seikabook/code-ownership-audit.git \
  ~/.agents/skills/code-ownership-audit

各 Agent 的 skills 目录

⚠️ 目录名必须是 code-ownership-audit —— opencode、Cursor 等要求目录名与 frontmatter 的 name 一致，改名会导致加载失败。

~/.agents/skills/ 是 opencode 与 Cursor 都识别的通用路径。其他位置：

Agent	全局	项目级
Claude Code	`~/.claude/skills/`	`.claude/skills/`
opencode	`~/.config/opencode/skills/`	`.opencode/skills/`
Cursor	`~/.cursor/skills/`	`.cursor/skills/`
Codex	`~/.codex/skills/`	`.codex/skills/`
Hermes	`~/.hermes/skills/`	—
WorkBuddy	`~/.workbuddy/skills/`	`.workbuddy/skills/`
DSH（零插件路径）	`~/.dsh/skills/`	`.dsh/skills/`

opencode 与 Cursor 同时兼容 .claude/skills/ 和 .agents/skills/，装一份即可被多个 Agent 共用。

DSH Plugin（DeepSeek Harness）

▼
bash
复制代码
dsh plugin --profile web add github:ffseika0304/code-ownership-audit

安装后重启 profile 让 bundle 层生效：

▼
bash
复制代码
dsh --profile web

锁版本 / 本地调试 / 卸载

▼
bash
复制代码
# 锁定 commit（推荐，DSH 仍是 developer preview）
dsh plugin --profile web add "github:ffseika0304/code-ownership-audit#<sha>"

# 本地目录（开发调试）
dsh plugin --profile web add link:/absolute/path/to/code-ownership-audit

# 卸载 / 更新
dsh plugin --profile web remove code-ownership-audit
dsh plugin --profile web update code-ownership-audit

插件层是纯 ESM JavaScript、零构建、零运行时依赖，因此不会触发 pnpm 的 allowBuilds 授权中断。

快速使用

▼
bash
复制代码
# 免费预览：风险数量 + 类型分布 + 一句话摘要
python audit.py <你的代码> --reference <上游代码> --tier preview

# 完整报告：代码位置 + 行号 + 修复建议
python audit.py <你的代码> --reference <上游代码> --tier full

目标和参照都可以是单个 .py 文件或整个目录。

两档报告

	免费预览	完整报告
价格	免费、不限次	¥0.2 / 次
风险总数与分级统计	✅	✅
风险类型分布	✅	✅
每条一句话摘要	✅	✅
代码位置 + 具体行号	—	✅
逐条修复建议	—	✅
可导出 md / json	—	✅
服务器签名审计凭证	—	✅
是否需要联网	完全离线	仅付款那一步

预览档在代码层就不构造行号与建议字段，不是前端隐藏 —— 说到做到。

关于"付费解锁的到底是什么"

付款流程（x402）

完整报告走 x402 协议，用支付宝 AI 钱包付款。买家侧若还没有钱包 CLI：

▼
bash
复制代码
npx -y @alipay/agent-payment@latest install-experience
alipay-bot check-wallet     # 自检

付款时依次执行两条命令（两条都要跑，只跑第一条拿不到凭证）：

▼
bash
复制代码
# 第 1 步：扫码付款
alipay-bot 402-buyer-pay --file <payment_needed.json>

# 第 2 步：查询支付状态，取回 proof + 签名回执
alipay-bot 402-query-payment-status --trade-no <交易号>

依赖

用途	依赖
审计引擎（免费档）	无 —— 只用 Python 标准库 `ast`
DSH 插件装载层	无 —— 纯 ESM JavaScript，零构建零依赖
付费档离线验签	`pycryptodome`
付费档付款	支付宝 AI 钱包 CLI

运行环境与权限

项目	说明
Python	≥ 3.9（审计引擎本体）
Node.js	≥ 22（仅 DSH 插件装载层需要）
网络访问	免费档零网络访问；仅付费档的付款那一步联网访问支付预言机
上传数据	none —— 代码不出本机
模型调用	none —— 不调用任何 LLM
文件写入	只写 `--out-dir` 指定的产物目录，不改动源码目录

测试

▼
bash
复制代码
python -m pytest -q     # 31 项（14 项功能测试 + 17 项结构测试）

仓库结构

▼
text
复制代码
code-ownership-audit/
├── audit.py            # 审计引擎（741 行纯 Python AST 分析）
├── paygate.py          # 付费网关（x402 协议 + pycryptodome 验签）
├── SKILL.md            # Agent Skill 入口
├── index.js            # DSH Plugin 入口（纯 ESM，零依赖）
├── cordis.patch.yml    # DSH 插件声明
├── dsh-plugin.json     # DSH 插件元数据
├── package.json        # npm 元数据（仅用于 DSH 插件发现）
├── icon.png            # 插件图标（PNG）
├── icon.svg            # 插件图标（SVG）
├── test_audit.py       # 14 项功能测试
├── test_structural.py  # 17 项结构测试
├── LICENSE             # MIT
└── .gitignore

常见场景

引入开源代码后，确认法律上还算不算自己的
净室重写（clean-room rewrite）后，验证是否真的切断了上游
交付前自查，避免把演绎作品当自有资产
合并外部贡献（PR）时，确认来源干净

Star History

Disclaimer

本工具给出的是技术事实（哪些表达相同、相同到什么程度），不构成法律意见。最终的许可证判断请咨询专业人士。

本项目为社区开源项目，与 DeepSeek AI 无隶属关系，非官方插件。

License

MIT