license-compliance-auditor

ライセンスコンプライアンス監査ツール

目的と意図

license-compliance-auditor は、すべての直接依存関係と間接依存関係が組織で承認されたライセンスを使用していることを自動的に確認し、ソフトウェアプロジェクトの法令遵守を確保します。

使用する場合

• 依存関係の追加：プロジェクトに新しいライブラリを追加するときに実行します。
• CI/CD ゲート：パイプラインのブロッキングステップとして使用し、ライセンス要件に準拠しないコードのマージを防ぎます（例：プロプライエタリ製品で GPL を使用しないようにする）。
• リリース準備：メジャーリリースの前に、依存関係ツリー全体を監査します。

使用しない場合

• 法的助言：このツールはメタデータに基づく技術的なチェックを行うものであり、専門家による法的助言に代わるものではありません。
• カスタムライセンス：SPDX レジストリにない独自のライセンステキストや、大幅にカスタマイズされたライセンステキストには対応が難しい場合があります。

エラー条件とエッジケース

• メタデータの欠落：パッケージのマニフェストにライセンスが定義されていない場合、「Unknown」としてフラグが付けられます。
• デュアルライセンス：複数のライセンス（例：「MIT OR GPL」）があるパッケージは、手動での確認が必要です。
• 未対応のエコシステム：ecosystem 入力でサポートされていない言語に対して実行しようとすると、失敗します。

セキュリティとデータ処理に関する考慮事項

• 読み取り専用：このツールはマニフェストファイルを読み取るだけです。
• プライバシー：ソースコードはアップロードされません。ライセンスレジストリの確認には、パッケージ名とバージョンのみが使用されます。