开源许可证合规

扫描工具命令与 CI 阻断配置

license-checker / FOSSA 命令行扫描

# license-checker（Node.js 项目）
npx license-checker --production \
  --onlyAllow 'MIT;Apache-2.0;BSD-2-Clause;BSD-3-Clause;ISC;CC0-1.0' \
  --excludePackages 'myapp@1.0.0' \
  --json > license-report.json

# 列出所有许可证（含依赖树）
npx license-checker --production --csv > licenses.csv

# FOSSA CLI 扫描（需要 FOSSA_API_KEY）
fossa analyze --branch main
fossa test --timeout 600  # 非零退出表示策略不合规

# Python 项目 — pip-licenses
pip install pip-licenses
pip-licenses --format=json \
  --with-urls \
  --with-authors \
  --output-file=licenses.json

# 自动生成 NOTICE 文件
npx license-checker --production \
  --customFormat='{"name":"","version":"","licenses":"","copyright":""}' \
  --out NOTICE \
  --customPath notice-template.json

CI 中阻断 GPL 库（GitHub Actions）

# .github/workflows/license-check.yml
name: License Compliance
on: [pull_request]
jobs:
  check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with: { node-version: '20' }
      - run: npm ci --production
      - name: Check licenses (deny GPL)
        run: |
          npx license-checker --production \
            --onlyAllow 'MIT;Apache-2.0;BSD-2-Clause;BSD-3-Clause;ISC;CC0-1.0;Unlicense' \
            --excludePackages 'approved-exception@1.0.0' || \
            (echo "::error::发现不允许的许可证，请检查 license-report.json" && exit 1)
      - name: Upload report
        uses: actions/upload-artifact@v4
        with:
          name: license-report
          path: license-report.json

合规主流程（lockfile → 扫描 → SBOM）

  [ lockfile / 构建图 与 组织允许表 对齐 ]
        │
        ▼
  ┌─────────────┐     解析 SPDX License Expression；标记 UNKNOWN / OR / AND
  │  依赖扫描    │──── 冲突：copyleft × 闭源分发、专利授予、附加义务
  └─────────────┘
        │
        ▼
  ┌─────────────┐     CycloneDX / SPDX JSON：每组件 licenseDeclared / concluded
  │  SBOM 产出   │──── 版本漂移时 diff 许可证字段 → 触发合规复查工单
  └─────────────┘
        │
        ▼
  ┌─────────────┐     NOTICE / 源码义务 / UI 致谢；例外登记与到期日
  │ 分发与文档  │──── 非法律意见 → 重大风险升级法务
  └─────────────┘

许可证兼容性矩阵

常见许可证在不同分发场景下的使用限制（非法律意见，重大决策转法务确认）：

• NOASSERTION：元数据缺失且未人工确认前用于 SBOM 字段占位。
• 扫描器输出的 UNKNOWN 必须进入评审队列，不得静默映射为允许。

SBOM 中的许可证字段与复查

CycloneDX 的 licenses、SPDX JSON 的 licenseDeclared / licenseConcluded 应与 CI 扫描及 lockfile 同源；合并 PR 时对比上一版 SBOM 的许可证集合差异。

允许清单、分发形态与 NOTICE

静态链接、动态链接、容器分发与纯 SaaS 对「源码提供」「版权声明」的要求不同；SKILL 应要求 Agent 按交付形态列出需随包文件（LICENSE、NOTICE、第三方列表）。

组织级允许表应版本化并与流水线门禁一致；例外须带 ticket、批准人与复审日期。UI「关于 / 开放源代码许可」页应与 SBOM 或构建时生成的致谢文件同源生成，避免手抄漂移。

SPDX JSON 包片段实验室

填写组件坐标与 SPDX 许可证表达式，生成可合并进 SPDX 2.3 JSON SBOM 的单个 packages[] 元素示意（需按你方 SPDXID 命名空间与关系边补全）。