提取项目引用的第三方库信息，避免某些许可证的兼容性和传染性

npm list --depth=0 | awk '{print $2}' > package_names.txt

# 方法1：使用jq解析json

# cat package_names.txt | xargs npm info --json > package_info.json

# jq . package_info.json

# 方法2：使用jq过滤json

while IFS= read -r pkg; do

npm info "$pkg" --json | jq -r '{

name: .name,

author: .author,

license: .license,

description: .description,

version: .version,

devDependencies: (if .devDependencies then .devDependencies | to_entries | map("\(.key): \(.value)") | join("\n") else "" end)

}'

done < package_names.txt > package_info_filtered.json

前端项目里引用的第三方库的软件许可证有不同类型，为了避免某些许可证的兼容性和传染性，统计第三方库的信息。

验证许可证兼容性是确保软件项目合法使用开源组件的重要步骤。虽然手动检查是一种方法，但使用自动化工具能更高效地完成这一任务。以下是一些步骤和工具，可以帮助验证许可证兼容性：

1. 使用许可证兼容性工具：

   • OSS Review Toolkit (ORT)：它是一个开源工具，可以帮助识别项目中的开源组件及其许可证，同时检查许可证的兼容性。
   • WhiteSource：提供许可证合规性扫描，支持多种许可证的兼容性检查。
   • JFrog Xray：除了组件分析外，还提供许可证合规性报告。

2. 检查许可证的兼容性：

   • 访问开源许可证数据库，如Open Source Licenses，以了解各种许可证的详细信息和兼容性。
   • 查阅项目中使用的许可证，确保它们与你的项目许可兼容。例如，GPL许可证可能要求你以相同方式许可你的整个项目，而MIT或Apache许可证则较为宽松。

3. 创建许可证白名单：

   • 为了简化许可证管理，可以创建一个白名单，只允许使用白名单中的许可证类型。确保团队成员了解并遵守这一政策。

4. 利用npm audit命令：

   • 虽然npm audit主要用于安全审计，但它也能检测到一些许可证问题。运行npm audit，查看审计报告中是否存在许可证相关的警告或错误。

5. 审查第三方依赖的许可证：

   • 检查你的项目直接或间接依赖的第三方库，确保它们的许可证不会对你的项目产生不利影响。

6. 咨询法律顾问：

   • 如果许可证的兼容性情况复杂或不确定，建议咨询法律顾问，以确保遵守所有适用的法律法规。

通过以上步骤，可以有效验证项目中使用的所有开源组件的许可证兼容性，避免因许可证问题导致的法律风险。自动化工具在这一过程中特别有用，不仅能节省时间，还能减少人为错误，确保项目的合法性。