地址之外，这份清单想先帮你分清一件事：不是每一条都能按 CMS 选。Hexo 是发布工具，Medusa 那三款是电商系统，Nuxt Content 只是给 Nuxt 项目读 Markdown 的内容模块，最后那四个压根不是开源软件——各有各的挑法，混在一张表里比就会选错。
清单里这 22 条都给了公开仓库地址，名字后面标着协议和最近一次正式版的时间。要自己跑起来的，从仓库入手；只想先看长什么样的，点官网。
一、主流 headless
Strapi（MIT，最新正式版 5.57.0／2026-10）
Directus（源码可得，非开源软件；最新正式版 12.5.0／2026-10）
Payload（MIT，最新正式版 3.90.2／2026-09）
Keystone（MIT，最新正式版 2026-08-31）
ApostropheCMS（MIT，最新正式版 4.33.0／2026-09）
Webiny（开源版 MIT，最新正式版 6.4.11／2026-09）
二、国产
NocoBase（Apache-2.0 + 自定义补充条款，最新正式版 2.2.22／2026-10）
VanBlog（GPL-3.0，最新正式版 0.54.0／2023-06，仓库仍在推送）
Firekylin（GPL-3.0，最新正式版 2.5.4／2026-10）
DoraCMS（MIT，最新正式版 2.1.7／2020-08，仓库仍在推送）
ChanCMS（Apache-2.0，最新正式版 3.6.9／2026-09）
CabloyJS（框架级，最新正式版 5.1.202／2026-10）
CmsWing（MulanPSL-2.0，无正式版，最后推送 2024-04）
三、Git / 文件驱动（其中 Nuxt Content 不是完整 CMS）
这一类没有数据库，内容存在文件里，由 Git 或本地文件当数据源——它是 CMS 的一种形态，不是半成品。只有 Nuxt Content 例外：给 Nuxt 项目读 Markdown 的内容模块，没有后台和发布流程，不算完整 CMS。
Decap CMS（MIT，最新正式版 3.16.3／2026-09）
TinaCMS（Apache-2.0，最新正式版 3.14.3／2026-10）
Sveltia CMS（MIT，最新正式版 0.233.0／2026-10）
Nuxt Content（MIT，最新正式版 3.16.1／2026-09）
四、博客与电商（这一节混着两类不是 CMS 的）
这一节里只有 Ghost 是 CMS。Hexo 是静态站生成器，不建后台也不存内容，是发布工具；Medusa、Vendure、EverShop 三款是电商系统，内置一套内容管理，但整体不等于 CMS——判据是主要发内容还是跑交易。这四款的挑法和 CMS 不是一回事。
Ghost（MIT，最新正式版 6.69.0／2026-10）
Hexo（MIT，最新正式版 8.1.2／2026-05）
Medusa（MIT，最新正式版 2.21.2／2026-09）
Vendure（GPL-3.0，最新正式版 3.7.4／2026-10）
EverShop（GPL-3.0，最新正式版 2.3.0／2026-10）
不在清单里的四个
Contentful、Sanity、Storyblok、Prismic 没进上面清单：它们是 SaaS 服务，不是开源软件——代码不开放，也没有"部署到自己的服务器"这个选项，内容和数据都存在对方平台上。
所以先分清你要的是哪一种：买一个服务，还是拿一套代码自己跑。两条路的账不一样，分清楚再比产品。
开源归开源，收不收费是另一回事：卖托管、卖技术支持、核心开源加商业版双轨都很常见。GPL 只管代码给不给、改了要不要公开，不管你收不收钱。
那界线画在哪？画在许可证给不给那套权利——开源许可证不能限制你把它用在哪个领域。OSI 开源定义第 6 条说的就是这条，原文是许可证不得限制程序被用于商业（"it may not restrict the program from being used in a business"）。
Directus 又是另一回事：它现在的 MSCL 里有一条不得拿它做竞品去卖的限制，管的是用途领域；再就是按营收分档、每个版本满四年才转 GPL v3。2023 年换 BSL 那次它自己写过，那一版并不满足 OSI 开源定义的十条标准。所以 Directus 归在源码可得那一族。
这四家的官网：
Contentful：https://www.contentful.com
Sanity：https://www.sanity.io
Storyblok：https://www.storyblok.com
Prismic：https://prismic.io
清单到此为止。真到动手那一步，协议那一栏按仓库里的 LICENSE 文件认，别认介绍页——这一批里换过许可证的不止 Directus 一家，NocoBase 2026 年 2 月刚从 AGPL-3.0 换成 Apache-2.0 加自定义补充条款。
顺着 GitHub 的 JavaScript / TypeScript 标签往下翻，还会翻出两类不该按 CMS 比的东西：静态站点生成器（VitePress、Docusaurus、Astro 这些）出的是静态页，Wiki / 知识库（Wiki.js、Outline 这类）存的是词条，谁都不按栏目发内容，跟上面这 22 条不是同一类。
本篇数据来源：
正文逐条列出的官网与开源仓库地址，截至 2026-10-11。Node 系换许可证、改域名都比别处勤，哪天点不开，照系统名字搜一下就找得到；协议以仓库里的 LICENSE 文件为准。
OSI 开源定义第 6 条（不得限制使用领域）：https://opensource.org/osd
Directus 换证公告（v12 起改用 MSCL、免费门槛、每个版本满四年转 GPL v3）：https://directus.com/resources/directus-v12-license-change
NocoBase 仓库 LICENSE（2026-02 起 Apache-2.0 + 自定义补充条款，此前是 AGPL-3.0）：https://github.com/nocobase/nocobase/blob/main/LICENSE.txt
「它还算不算开源」的判定口径见正篇（一），讲 Directus 换许可证那篇。