| 检查项 | 许可证类型、版权声明、传染性义务、已知漏洞 |
|---|---|
| 工具 | 依赖清单生成 + 许可扫描（SBOM 实践） |
| 门禁 | 高风险许可或未知许可阻止合并/发布 |
应对示例
应对示例
MIT/Apache-2.0：保留声明，通常可商用
GPL 类：评估分发与传染影响，规避或隔离
未知许可：暂停引入，先法务确认开源合规管理
开源合规检查开源组件许可（GPL、Apache、MIT 等）与义务：保留版权声明、满足传染性条款、规避禁用许可证；工具扫描依赖清单并在流水线设置门禁。
易错点
- 只看漏洞不看许可：发布后收到合规质询函
- SBOM 只生成不使用：依赖变化后清单不更新
数据来源与参考
- 开源许可合规公开实践（SPDX、SBOM）
- OSI 许可清单