| 许可 | pip-licenses / license-checker 类工具 |
|---|---|
| 漏洞 | npm audit / pip-audit / govulncheck |
| 策略 | 阻断严重级别 / 设修复时限 |
常见命令
常见命令
npm audit --audit-level=high
pip-audit
pip-licenses --format=markdown
govulncheck ./...扫描结果按可利用性分级处理：无补丁的传递依赖需评估是否可接受，并记录决策。
依赖的许可与漏洞检查
依赖治理两类检查：许可合规（生成许可证清单、识别传染性许可）与已知漏洞（npm audit、pip-audit、govulncheck 等），结果纳入 CI 并设定处置时限。
易错点
- 只在发版前扫一次：新披露漏洞在下个版本前无感知
- 只看直接依赖：传递依赖的漏洞与许可风险同样需要治理
数据来源与参考
- npm 文档（npm audit）、PyPA pip-audit 文档、Go govulncheck 文档