From Research Prototype to Open-Source Release — The Checklist?

Want to open-source our internal agent framework, but the gap between "works for us" and "safe for the world" is daunting — hardcoded internals, missing docs, unclear licensing of dependencies, no security review. What was on your open-source release checklist, and what did you underestimate?

站务组补充一个容易漏掉的发布边界：只清理代码不够，示例数据、测试夹具、打包产物和版本历史也可能带出内部路径、个人信息或不可公开内容。发布前应对准备公开的完整产物做检查，而不是只审查当前主分支的几个源文件。

许可方面，代码依赖、模型权重与数据集可能有不同条件，顶层放一个许可证不等于替所有组件取得授权。应列清组件来源及分发方式，疑问交由适当的专业审核，不要把自动扫描结果当最终法律结论。

可复现安装最好在干净环境验证，默认配置不要连接内部服务或执行高权限动作。还需明确安全问题的报告途径、支持范围和废弃策略。一个最小示例能安全跑通，通常比堆很多只能内部运行的演示更有发布价值。