Выяснение лицензий библиотек JAR

Question

Я использую Maven для создания своих проектов веб-приложений, когда я добавляю некоторую зависимую библиотеку в файл pom, он снова рекурсивно добавляет еще несколько зависимых jar-файлов в проект.Есть ли способ узнать или ограничить, что должны быть включены только банки с определенным типом лицензии - скажем, Apache License, BSD и т. Д.Или есть способ узнать, что файл jar находится под GPL / ASL и т. Д., Не заходя на веб-сайт для каждого jar в приложении?

Answer 1

Плагин Maven "Project Info Reports" создает Отчет о зависимостях , который включает Лицензии для зависимостей.Вот пример .

Очевидно, это зависит от того, как зависимые POM правильно объявляют свои зависимости, и для этого требуется, чтобы вы создавали документацию своего сайта «в сети».

Answer 2

Во время приобретения компании, в которой я работал, приобретающая компания использовала следующее программное обеспечение / консультационные услуги для выполнения того, что вы описываете.

http://www.blackducksoftware.com/transact

Хотя, наверное, вы искали бесплатную альтернативу. Могут быть и другие методы, но тот факт, что эта компания зарабатывает на этом, предполагает, что альтернатива, вероятно, менее тщательная / точная.

Answer 3

Я также нахожу этот веб-сайт (https://www.versioneye.com) предоставляет информацию о лицензии. Например, https://www.versioneye.com/java/tomcat:jasper-runtime/5.5.23 говорит: Лицензия: Apache License 2.0

19 октября 2017 г.

Я закрываю VersionEye к концу этого года!

Я начал проект около 6 лет назад, и до сих пор это был путешествие со многими взлетами и падениями. Типичные американские горки StartUp вещь. Я собрал деньги с большого венчурного капитала в Берлине и чуть не обанкротился после этого. Снова поднял деньги от маленьких инвесторов ангела, чтобы предотвратить банкротство. Выиграл одну из крупнейших софтверных компаний в мире как клиент и установил стабильный доход для компании.

Answer 4

Свободной альтернативой для сканера лицензий является «scancode-toolkit». Он может сканировать вашу кодовую базу на предмет информации об авторских правах, текстах лицензий и т. Д.

Но, как @Stephen C, упомянутый в его ответе, он не всегда сможет обнаружить лицензию для зависимости.

https://github.com/nexB/scancode-toolkit