Выясняя лицензии библиотек JAR

Question

Я использую Maven для создания своих проектов веб -приложений, когда я добавляю некоторую зависимую библиотеку в файл POM, он снова добавляет несколько более зависимых банок к проекту рекурсивно. Есть ли способ выяснить или ограничить, что должны быть включены только банки, имеющие определенный тип лицензии - скажем, лицензия Apache, BSD и т. Д. Или есть способ узнать, что файл JAR находится под GPL/ASL и т. Д., Не посещая веб -сайт для каждой JAR в приложении?

Answer 1

Мавен «Информация о проекте сообщает» плагин производит а Отчет о зависимостях Это включает в себя лицензии на зависимости. Вот пример.

Очевидно, что это зависит от зависимых помпонов, объявляющих их зависимости правильно, и требует, чтобы вы создали документацию на сайт «онлайн».

Answer 2

Во время приобретения компании, в которой я работал, компания -приобретающая компания использовала следующее программное обеспечение / консультирование, чтобы сделать то, что вы описываете.

http://www.blackducksoftware.com/transact.

Хотя я предполагаю, что вы, вероятно, искали бесплатную альтернативу. Могут быть и другие методы, но тот факт, что эта компания зарабатывает деньги, предполагает, что альтернатива, вероятно, менее тщательно/точна.

Answer 3

Я также нахожу этот сайт (https://www.versioneye.com) предоставляет информацию о лицензии. Например, https://www.versioneye.com/java/tomcat:jasper-runtime/5.5.23 Говорит лицензию: Apache License 2.0

19 октября 2017

Я закрываю версию к концу этого года!

Я начал проект раунд около 6 лет назад, и пока это было путешествие со многими ИБП и падениями. Типичная стартап ролькоостеренная вещь. Я поднял деньги у большого VC в Берлине и почти обанкротился после этого. Снова поднял деньги от маленьких инвесторов ангела, чтобы предотвратить банкротство. Выиграл одну из крупнейших программных компаний в мире как клиента и создал стабильный доход для компании.

Answer 4

Бесплатная альтернатива для лицензионного сканера - это «Scancode-Toolkit». Он способен сканировать вашу кодовую базу для информации о авторских правах, лицензионные тексты и т. Д.

Но вроде @stephen C упомянул в своем ответе, он не всегда может обнаружить лицензию на зависимость.

https://github.com/nexb/scancode-toolkit.