Go 依赖许可证审计

要解决的具体问题

Go 项目依赖 go.mod 管理依赖关系，但随着依赖项数量增加，许可证合规问题变得突出。手动核对每个依赖的许可证类型和条款限制费时费力，容易遗漏关键信息。例如，某些依赖可能包含 GPL 等传染性许可证，未及时发现会导致项目被迫开源，影响商业发布。采购审查或开源尽职调查时，手动整理许可证清单也难以满足时效要求。

技能如何工作

该技能基于 go-licenses 工具，核心能力是为 Go 模块依赖生成详细的许可证清单。使用时需先切换到目标 Go 项目目录，运行工具后自动扫描所有依赖项，提取许可证信息并输出结构化结果。清单通常包含依赖路径、许可证类型、版本号等关键数据，可直接用于合规审查或存档。

适用边界与注意点

• 依赖嵌套处理：多级嵌套依赖需确认扫描深度是否覆盖全部层级，避免遗漏间接依赖的许可证信息。
• 工具版本兼容性：需确保 go-licenses 与当前 Go 环境兼容，旧版本工具可能无法识别新出现的许可证类型。
• 结果人工复核：工具输出的清单为自动化结果，仍需人工确认许可证条款的细节，如例外情况或附加条款。