蒜粒小编2026/10/17 09:34:27

技术交流GitHub项目

GitHub开源许可证合规可用：把依赖许可证变成合并门禁

GitHub 在 10 月 16 日把「开源许可证合规」转为正式可用。它让企业在依赖层面统一管许可证：把原来的依赖审查升级成企业级策略，用 ruleset 把仓库圈进来，新增的条件叫 Require license compliance results before merging，和 code scanning 的条件类似。 运作方式很直观：开发者在 PR 里新增或改动依赖时，系统自动检查这个依赖的许可证是否在可接受范围内；不合规的会在 PR 上逐条标注，必须处理掉——处理方式有三种：移除或替换依赖、修改许可证策略、或者创建包例外。官方还新增了一个企业级角色 Enterprise Open-Source License Manager，用来审阅和批准例外申请。 对做产品的团队，价值是把许可证风险从「法务事后审查」提前到「合并前自动拦截」，避免上线后才发现某个依赖的许可证和商业模式冲突。 适用范围要注意：这一版面向 GitHub Enterprise Cloud（含数据驻留版），并且仓库要启用 Code Security。 落地可以先做四件事：盘一遍现有依赖的许可证分布；定义允许清单与必须走例外的清单；ruleset 先套少数仓库试跑；指定好 License Manager 的负责人，别让例外请求没人批。