Agent Skills
返回列表
💻

仓库许可证检测

开发编程 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/detect-repository-licenses-before-dependency-approval-or-open-source-due-diligence

技能介绍

要解决的问题

在批准一个外部依赖之前，或者打算把某个开源代码库纳入自己的项目并重新分发时，你通常需要回答一个问题：这个仓库实际使用的是什么许可证？README 里写的、package.json 中的 license 字段、仓库首页展示的内容，三者经常不一致。人工逐个比对许可证文本既耗时又容易出错，而许可证不明确可能带来合规风险。

工作原理

Licensee 的核心思路是基于证据的检测，而不是简单相信仓库自己声明的许可证。它会扫描目标仓库，将其中的许可证文本与已知许可证集合进行比对，给出匹配结果。

关键步骤：

  1. 获取目标仓库，扫描许可证相关的文件与元数据
  2. 提取疑似许可证文本，与上游许可证库逐项比对
  3. 输出匹配到的许可证及对应的证据文件

该技能聚焦于许可证检测本身，不提供法律建议，也不覆盖更广泛的合规自动化流程。运行前提包括 Ruby 和 RubyGems，也可以使用 Docker 进行容器化运行。Licensee 提供了较为完整的命令行接口，适合集成到自动化流程中。

边界与注意点

  • 不是法律意见：检测结果只能作为证据参考，最终的许可证合规判断仍需人工确认
  • 检测范围有限：只处理许可证识别，不涉及依赖漏洞扫描、许可证兼容性矩阵等更广的合规工作
  • 声明与实际可能不符：即使检测结果匹配某个许可证，仍建议核对原始文本，确认是否存在附加条款或自定义修改

使用场景

  • 在审批新第三方库引入前，检测其仓库的许可证文本以确认合规风险。
  • 在将开源项目代码复制进商业产品前，确认其实际匹配的许可证类型。
  • 在接手历史遗留项目时，批量扫描依赖仓库的真实许可证信息。
  • 在准备开源尽职调查报告时，收集目标仓库的许可证证据文件。

适合人员

  • 负责审查外部依赖引入的后端工程师，需要确认第三方库的许可证是否与公司合规政策冲突。
  • 主导开源合规审查的技术法务，需要获取仓库实际匹配的许可证文本作为证据。
  • 计划将开源组件商业集成的产品负责人，需要评估重新分发时的许可证限制。
  • 管理内部组件库的 DevOps 工程师，需要在自动化流水线中集成许可证检测步骤。