裕普·栈枢
☰

AI 无人软件超市子系统 addendum

最后更新：2026-10-11

裕普·栈枢 · AI 无人软件超市子系统 addendum（ncyupu market addendum · D-47）

> 本 addenda 是 docs/legal/platform-terms.md（平台总协议）下 market 子系统（AI 无人软件超市）的子系统特定条款。本 addenda 与平台总协议共同构成 market 子系统的完整服务协议。委托方使用 market 子系统即视为同时接受平台总协议与本 addenda。

>

> 适用子系统：market（D-43 shortcode）— ncyupu.com/market/ + /api/market/ + /admin//market/。9 子系统 shortcode（cross-link 锚点）：web/ai-tech/market/kb/user/order/admin/agent-ops/future。

>

> 发布状态：本 addenda 由站长本人审阅后视为有效（Phase 7 07-06 接力人工门批准）。本 addenda 发布前不构成正式法律意见，仅为运营透明度的承诺性条款。

一、验证性收录

  • `market` 子系统的定位为**验证性收录**——服务方对开源 AI 工具进行验证并展示，不构成销售合同、不接交易闭环（market 子系统不接入 Phase 5 订单台账）。
  • 收录标准（满足全部条件方可收录）：

    • 1. 官方仓库：软件项目有官方 GitHub / GitLab / Gitee 等公共仓库；

    2. SPDX 许可证：软件项目使用 SPDX 标准许可证（MIT / Apache-2.0 / BSD / GPL 等开源许可证），禁止收录无许可证或专有商业软件的转售链接；

    3. 真实下载链接：软件有官方下载渠道（GitHub Releases / 官网下载页 / 包管理器），下载链接经服务方人工验证可访问；

    4. AI 工具类别：软件必须属于 AI 相关工具（AI 应用搭建 / LLM 推理 / 图像生成 / 工作流自动化 / RAG / Agent 等），与 market 子系统的「AI 无人软件超市」定位一致。

  • 验证流程详见 `docs/技术设计/软件验证流程.md`（Phase 7 07-04 落地）；验证由站长本人执行 6 项必过（HTTPS URL 校验 + short_description ≥ 30 字符 + ≥1 version + ≥1 license + tags 非空 + verified_at 字段非空），CLI 自动化（`verify_software_evidence` management command）。
  • 软件选型：Claude 列 15-20 候选清单，站长本人从候选圈选 10（D-50 决策模式，dev-standards § 通用「私人叙事不能 Claude 代笔」延伸）。
  • **重新验证触发**：任何软件版本变更、许可证变更、官方仓库迁移、下载链接失效均触发重新验证；重新验证未通过的，从 `market` 子系统下线并保留归档记录。

    • 二、非交易条款

  • `market` 子系统**不构成销售合同**——委托方点击 download 链接跳转至第三方官方仓库或 GitHub Releases 页面，由委托方与第三方开源软件作者之间直接发生下载/使用关系。
  • 服务方**不对第三方软件承担担保责任**，包括但不限于：

    • - 软件可用性（持续可下载、服务器在线、API 限额充足）；

    - 软件安全性（无恶意代码、无已知 CVE、无供应链攻击）；

    - 软件持续维护（原作者持续更新、issue 响应、Bug 修复）；

    - 软件许可证合规（原作者持续按 SPDX 许可证发布、商标权与专利权清晰）；

    - 软件与委托方环境的兼容性（操作系统、依赖版本、硬件要求）。

  • 委托方下载与使用第三方软件的风险**由委托方自担**；服务方仅做收录时的合规验证，不对后续变更承担连带责任。
  • 服务方**不对第三方软件作任何形式的商业担保**——market 子系统页面展示的描述、版本号、许可证信息均来自官方仓库与 GitHub API，引用源在 `SoftwareProduct.official_url` + `SoftwareLicenseTemplate.spdx_id` 字段登记。
  • 委托方知悉并接受：`market` 子系统为「验证性收录 + 收录即认可」模式，服务方按"现状"展示软件信息；任何引用失效触发重新验证。

    • 三、引用源说明

  • `market` 子系统展示的全部软件信息（版本号、发布日期、下载链接、SHA256 校验和、许可证类型、FAQ、更新日志）均来自以下官方源：

    • - 官方仓库 README：项目主页、徽章、文档；

    - GitHub Releases API：版本号、发布日期、下载链接、SHA256 校验和；

    - 官方文档：FAQ、使用说明、配置指南；

    - SPDX 许可证标准：许可证类型、版权声明、商标信息。

  • 引用源在 backend `market` app 模型字段中登记：

    • - SoftwareProduct.official_url：软件官方仓库地址；

    - SoftwareLicenseTemplate.spdx_id：SPDX 许可证标识符；

    - SoftwareVersion.download_url：版本下载链接；

    - SoftwareVersion.sha256：版本 SHA256 校验和；

    - SoftwareProduct.verified_at：服务方最后验证时间。

  • 引用失效处理：

    • - 下载链接失效：SoftwareVersion.is_latest 标记为 false，归档为历史版本；

    - 官方仓库迁移：SoftwareProduct.official_url 更新为新地址，触发重新验证；

    - 许可证变更：SoftwareLicenseTemplate 创建新记录（PROTECT FK 不删除原记录），审计追溯；

    - 信息不一致：服务方以官方仓库最新信息为准，market 子系统同步更新。

  • **不存储第三方软件的私有信息**：服务方不爬取、不存储、不展示第三方软件的私有仓库、内部 issue、付费版授权信息等非公开内容。

    • 四、版本时间线说明

  • `SoftwareVersion` 模型记录**每次官方发布**（Phase 7 07-02 落地）：

    • - version_label：版本号（如 v1.0.0、2026.10.07）；

    - release_date：发布日期（来自 GitHub Releases API）；

    - changelog：更新日志摘要（来自 GitHub Releases body 截取前 500 字）；

    - download_url：该版本的官方下载链接；

    - file_size_mb：文件大小（来自 GitHub API size 字段）；

    - sha256：SHA256 校验和（来自 GitHub API）；

    - is_latest：是否为最新版本（布尔字段；同一软件仅一条记录 is_latest=true）。

  • `SoftwareUpdate` 模型记录**变更摘要**（Phase 7 07-02 落地）：

    • - update_date：变更日期；

    - title：变更标题（如「修复 RAG 检索性能问题」）；

    - summary_text：变更摘要（1-2 句中文摘要）；

    - body_md：变更详情 Markdown（来自 GitHub Releases body 截取）；

    - severity：严重程度（major / minor / patch / security / info）。

  • **历史版本保留**：

    • - 旧版本下载链接保留 90 天——90 天后归档为历史版本（is_latest=false，下载链接标记 archived）；

    - 历史版本不删除（仅标记 archived），便于委托方回溯兼容性；

    - 90 天保留期届满后，第三方官方仓库仍可访问的，委托方可前往官方仓库下载历史版本。

  • **版本同步频率**：服务方每周一次同步 GitHub Releases（Phase 8+ 接力自动化同步；Phase 7 由站长本人按需手动同步）；同步触发条件 = `verified_at` 距今超过 7 天。

    • 五、FAQ 与更新日志条款

  • `SoftwareFAQ` 模型记录**委托方常见问题**（Phase 7 07-02 落地）：

    • - question：问题文本；

    - answer：答案文本（中文优先，长度 50-500 字符）；

    - display_order：展示顺序（默认按服务方编辑顺序）；

  • `SoftwareFAQ` **由站长本人维护**——不接受用户提交，避免 spam 与误导信息；委托方对 FAQ 有疑问的，可通过 `ncyupu@qq.com` 邮件反馈，服务方酌情采纳。
  • `SoftwareUpdate` **由站长本人撰**——不接受自动同步，避免翻译失真与版权问题；服务方基于 GitHub Releases body 人工提炼为中文摘要，确保语言一致性与信息密度。
  • 任何 FAQ 与更新日志的修改**回溯平台总协议 §四 知识产权**：

    • - 服务方撰写的 FAQ 与更新日志摘要版权归服务方（CC BY-NC 4.0 之外禁止复制）；

    - 服务方提炼自 GitHub Releases 的摘要引用源在 SoftwareUpdate.body_md 字段保留原始 Markdown；

    - 委托方对 FAQ 与更新日志的引用需标注来源（"来源：ncyupu.com/market// + 原始 GitHub Releases 链接"）。

  • **FAQ 与更新日志的真实、准确、完整义务**：服务方尽力保证 FAQ 与更新日志的真实、准确、完整，但不对因第三方软件变更未及时同步导致的引用误差承担连带责任；委托方以官方仓库为准。

    • 交叉引用

  • **D-47 服务协议架构决策**：`/planning/phases/07-ai-marketplace/07-CONTEXT.md` §D-47 锁定决策
  • **D-50 10 软件选型决策**：`/planning/phases/07-ai-marketplace/07-CONTEXT.md` §D-50
  • **D-45 独立表决策**：`/planning/phases/07-ai-marketplace/07-CONTEXT.md` §D-45
  • **D-26 数据最小化兜底**：`/backend/market/models.py` §`SoftwareDownloadLog`
  • **D-49 Phase 7 落地范围**：`/planning/phases/07-ai-marketplace/07-CONTEXT.md` §D-49
  • **软件验证流程文档**：`/docs/技术设计/软件验证流程.md`（Phase 7 07-04 落地）
  • **法律页面 chrome 消费**：`/frontend/src/pages/legal/market-addendum.astro`（frontend Astro 静态页消费本 markdown）
  • **平台总协议**：`/docs/legal/platform-terms.md`（跨子系统共同条款）
  • **ICP / 公安备案单点**：`/backend/config/compliance.py`（D-21 单点登记）
  • **§14.2 审计报告「NO fabricated」**：`/docs/技术设计/平台架构审计报告-2026Q4.md`