GitHub 改进许可证数据质量

GitHub 现在使用像 npmjs.org 和 PyPI 这样的包注册表来确定依赖图中软件组件的许可证信息。这提高了依赖项见解、软件物料清单（SBOM）、GitHub Advanced Security 中的开源许可证合规功能以及依赖项审查操作中显示的许可证的准确性和完整性。以前，GitHub 上许可证信息的主要来源是 ClearlyDefined 服务。虽然我们仍然使用并贡献于 ClearlyDefined，但我们发现它专注于深度优先的文件扫描导致了复杂的结果，用户感到困惑。我们仍将回退到 ClearlyDefined 数据，但现在将优先考虑来自包注册表的许可证信息。早期结果显示，我们将缺失许可证的数量减少了一半，从依赖图中 1.7 亿个包中的 45% 降至 24%。此外，系统现在跟踪版本范围，而不是要求每个版本都有特定的数据库条目，因此实际覆盖率将更高。为了进一步解释，依赖图服务现在使用给定包生态系统的规范注册表中的元数据，如下表所述。依赖图服务根据版本范围保留许可证历史。例如，Grafana 从 Apache 重新授权为 AGPL，有两个条目：一个涵盖 1.0.0 到 7.5.17 的 Apache-2.0，另一个从 8.0.0 或更新版本的 AGPLv3。这既降低了数据库的复杂性，又为新版本提供了许可证信息，而无需显式添加每个版本。更新后的许可证信息现已在所有 GitHub 上可用。加入 GitHub Community 中的讨论。

GitHub 依赖图现在优先使用 npmjs.org 和 PyPI 等包注册表来确定软件组件许可证信息，提升了准确性和完整性，缺失许可证数量从 45% 降至 24%。

• GitHub 依赖图现在优先使用 npmjs.org 和 PyPI 等包注册表来确定软件组件许可证信息，提升了准确性和完整性，缺失许可证数量从 45% 降至 24%。
• 原贴提到：GitHub now uses package registries like npmjs.org and PyPI to determine
• 来源：github.blog

这是什么信号：GitHub 改进依赖图许可证数据质量，这是软件供应链合规重要性日益上升的明确信号。GitHub 作为全球最大的代码托管平台，其依赖图和 SBOM 的准确性直接影响数千万开发者的合规判断。这次更新从“深度扫描”转向“权威注册表优先”，意味着 GitHub 承认在许可证数据准确性上，官方包注册表的元数据比第三方扫描更可靠。

为什么重要：许可证合规是开源软件使用中的核心难题。此前依赖 ClearlyDefined 的深度文件扫描，虽然覆盖面广，但结果复杂且难以理解，导致许多项目的许可证信息缺失。现在优先采用 npm、PyPI 等注册表的官方元数据，不仅提高了准确性，还通过“版本范围”机制减少了数据库维护成本，并让新版本立即获得许可证信息。缺失许可证比例从 45% 降至 24%，这是基础设施级的大幅提升，对依赖洞察、SBOM 生成以及 GitHub Advanced Security 的合规功能都有深远影响。

对谁有价值：所有使用 GitHub 依赖图、依赖审查、SBOM 或 Advanced Security 的开发者、开源维护者、企业法务与安全团队。对于依赖大量第三方组件的企业，这一更新能帮助其更准确地进行许可证合规审计，降低法律风险；对于开源维护者，可以更清晰地展示项目的许可证信息，增强可信度。

可以怎么行动：第一，立即查看你的依赖图，重新生成 SBOM，以获取更新后的许可证信息。第二，对于关键项目，利用 GitHub API 或依赖审查功能，手动核实核心依赖的许可证。第三，如果依赖的包许可证有变更，例如像 Grafana 那样的重新授权，确保你的合规策略能处理版本区间变化。第四，考虑将许可证合规检查集成到 CI/CD 流程中，使用依赖审查操作来阻止不合规的依赖引入。

风险或限制：包注册表的元数据仍可能由维护者错误填写，无法完全代表真实的法律状态。GitHub 虽然仍回退到 ClearlyDefined，但 ClearlyDefined 的覆盖范围和准确性本身也有局限。版本范围机制可能无法处理复杂的许可证变化，例如同一版本在不同时间点有不同的许可证。此外，该改进只针对 GitHub 依赖图生态系统，其他平台或工具仍需要各自的数据源。

这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 github.blog 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。

如果把《GitHub 改进许可证数据质量》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。

• Allison 原帖