许可证数据质量改进
GitHub 依赖图现在优先使用 npmjs.org 和 PyPI 等包注册表来确定许可证信息，缺失许可证比例从 45% 降至 24%，并支持版本区间跟踪，提高了许可证数据的准确性和完整性。
原贴
查看原文原文
中文翻译
GitHub 现在使用 npmjs.org 和 PyPI 等包注册表来确定依赖图中软件组件的许可证信息。这提高了依赖项见解、软件物料清单 (SBOM)、GitHub Advanced Security 中的开源许可证合规功能以及依赖项审查操作中显示的许可证的准确性和完整性。以前，GitHub 上许可证信息的主要来源是 ClearlyDefined 服务。虽然我们仍在使用并贡献于 ClearlyDefined，但我们发现它专注于深度优先文件扫描的方法会产生复杂的结果，用户对此感到困惑。我们仍会回退到 ClearlyDefined 数据，但现在将优先使用包注册表中的许可证信息。早期结果显示，缺失许可证的数量已减少一半，从依赖图中 1.7 亿个包的 45% 降至 24%。此外，系统现在跟踪版本范围，而不是要求每个版本都有特定的数据库条目，因此实际覆盖率会更高。进一步说明，依赖图服务现在使用给定包生态系统的规范注册表中的元数据，如下表所述。依赖图服务根据版本范围保留许可证历史记录。例如，Grafana 从 Apache 重新授权为 AGPL，它有两条记录：一条覆盖 1.0.0 至 7.5.17 的 Apache-2.0，一条覆盖 8.0.0 或更高版本的 AGPLv3。这既降低了数据库的复杂性，也为新版本提供了许可证信息，而无需逐一明确添加。更新的许可证信息现在可在 GitHub 的所有功能中使用。加入 GitHub Community 中的讨论。
核心信息
GitHub 依赖图现在优先使用 npmjs.org 和 PyPI 等包注册表来确定许可证信息，缺失许可证比例从 45% 降至 24%，并支持版本区间跟踪，提高了许可证数据的准确性和完整性。
- GitHub 依赖图现在优先使用 npmjs.org 和 PyPI 等包注册表来确定许可证信息，缺失许可证比例从 45% 降至 24%，并支持版本区间跟踪，提高了许可证数据的准确性和完整性。
- 原贴提到：GitHub now uses package registries like npmjs.org and PyPI to determine
- 来源：github.blog
详细解读
这是什么信号？ GitHub 正在系统性改进依赖图数据的许可证元数据质量，从单一数据源（ClearlyDefined）转向以包注册表为权威来源，并采用版本区间来管理许可证历史。这表明平台更加重视软件供应链合规的准确性，并通过简化数据模型来降低维护成本。
为什么重要？ 许可证信息是开源合规的核心。过去依赖 ClearlyDefined 深度扫描文件导致结果复杂且不完整，现在直接采用 npm、PyPI 等官方注册表的元数据，可靠性更高。缺失率从 45% 降至 24%，意味着大量项目能够更清晰地暴露许可证风险，减少法律隐患。同时，版本区间跟踪解决了许可证变更场景（如 Grafana 从 Apache 转向 AGPL），避免了每个版本都需手动录入的繁琐工作。
对谁有价值？ 对使用 GitHub 的企业和开发者，特别是需要生成 SBOM、进行开源合规审计的团队。安全工程师、法务人员和 DevOps 工程师都能直接受益。对开源维护者，清晰的许可证信息有助于用户信任。对安全工具链，数据质量提升意味着下游扫描结果更准。
可以怎么行动？ 开发者可以检查自己仓库的依赖图，确认许可证信息是否更新；企业应将此变化纳入合规流程，重新评估依赖项风险。安全团队可利用改进后的 SBOM 数据优化自动化策略。此外，可关注 GitHub Advanced Security 的许可证合规功能，将其与 CI/CD 集成。
风险或限制 仍存在 24% 的缺失率，可能源于包注册表自身信息不全或自定义许可证。GitHub 仍会回退到 ClearlyDefined，但数据优先级变化可能导致某些包的许可证显示与之前不同，需要人工复核。版本区间可能无法覆盖分支或预发布版本，且包注册表元数据也可能出错。
信息差价值
这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 github.blog 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。
如果把《许可证数据质量改进》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。