AUT-0718· Безпека та відповідність
Перевірка ліцензій нових програмних залежностей
Нова бібліотека або її версія проходить перевірку за ліцензійною політикою продукту; невідомі умови й винятки отримують окреме рішення.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Команда додає програмну бібліотеку, не перевіривши умови її використання. Несумісність із політикою продукту виявляють після прийняття зміни.
02 / Результат
Для конкретної редакції зміни визначено перевірені залежності, ліцензійні винятки й рішення; неповні відомості не видаються за успішну перевірку.
03 / Процес
ТригерЗапропонована зміна коду додає програмну залежність або змінює її версію.
Отримати точну редакцію зміни та доступний перелік доданих і змінених залежностей із версіями; зафіксувати межі охоплення аналізу.
Зіставити встановлені ліцензійні ідентифікатори з погодженою політикою конкретного продукту; відсутній або неоднозначний ідентифікатор передати на перевірку.
Для забороненої умови чи незрозумілого поєднання ліцензій створити запит відповідальному з компонентом, версією, джерелом і підставою використання.
Власник рішення погоджує допустимий виняток або команда обирає іншу залежність; автоматичний результат не підміняє правову оцінку.
Повторити перевірку після зміни компонента, версії чи політики; рішення щодо попередньої редакції не переносити автоматично.
Перед прийняттям коду звірити фактичний результат потрібної перевірки й невирішені випадки; зберегти версію політики та межі підтвердження.
04 / Реалізація1 варіант
Приклад · Контроль із підтвердженням результату
Нова версія бібліотеки отримала інший ліцензійний ідентифікатор. Попереднє рішення не закрило перевірку. Команда замінила компонент і повторила перевірку конкретної редакції зміни.
Спосіб реалізації
- Збирати перевірені метадані зміни й передавати ліцензійні винятки відповідальному.
- Використовувати перевірку залежностей із погодженою політикою та звіркою фактичного результату перед прийняттям коду.
Що потрібно для реалізації
- Визначений продукт, репозиторій і точна редакція зміни.
- Доступні відомості про залежності, версії й ліцензії.
- Погоджена ліцензійна політика та відповідальний за винятки.
- Перевірений механізм блокування прийняття непогодженої зміни.
Обмеження
- Відомості про ліцензію можуть бути неповними. Перевірка доступного переліку не доводить охоплення всіх компонентів або юридичну сумісність продукту.
- GitHub підтримує правила дозволених або заборонених ліцензій; обидва списки не задають одночасно. Доступність механізму й повноту даних перевіряють на аудиті.
- Юридичний висновок, виконання всіх ліцензійних зобов’язань, призначення платних місць і усунення вразливостей не включено.
- Права й можливості цільового середовища перевіряють на аудиті; години попередні.
Що потрібно уточнити (2)
- Чи потрібні різні ліцензійні політики для кількох продуктів?
Погодьте області застосування політики, версії правил і власників рішень.
- Чи потрібно обробляти неповні метадані та перевіряти охоплення залежностей?
Надайте типи пакетів, контрольні зміни й маршрут для невідомої ліцензії.