技能介绍

解决的问题

开源依赖很少只带来代码。一次普通的 npm install 或 pip install 可能把 GPL/AGPL、宽松许可证或来源不清的传递依赖拉进项目。等到发布、审计或法务复核时才发现许可证冲突，通常要回溯 package-lock.json、Pipfile.lock、go.mod 和 pom.xml，成本很高。另一个问题是团队缺少统一出口：开发看依赖，安全看漏洞，法务看 SPDX，三方对同一项目的理解不一致。

技能如何工作

Snyk 许可证合规检查器基于 Snyk 的许可证数据和依赖解析能力，覆盖常见生态：

npm：解析 package.json 及锁文件，覆盖直接与传递依赖
PyPI：识别 Python 包及其依赖图
Maven：读取 pom.xml，纳入构件许可证信息
Go modules：跟踪 go.mod 与模块依赖

核心流程是收集依赖清单、匹配许可证、按项目策略标记风险，并输出 SPDX 格式报告。对 copyleft、强互惠许可证或组织内部限制使用的许可证，它会明确提示风险项，便于在 CI 或发布前拦截。

适用边界与注意点

这个技能适合作为许可证扫描和工程拦截层，不替代法律判断。它对未打包代码、私有 fork、模糊许可证文本、自定义 LICENSE 文件和运行时动态安装依赖的识别可能存在局限；CLI 需要完成认证，REST API 需要可用凭证和权限，扫描范围取决于依赖清单能否完整解析。结果应与 SBOM、人工复核和公司许可证政策一起使用。