docker/fossa-analyzer

Fossa Analyzer 镜像文档

镜像概述

Fossa Analyzer镜像提供Fossa许可证扫描工具的运行环境，用于自动化检测软件项目中的开源依赖及其许可证信息。该镜像封装了Fossa分析器核心功能，支持快速集成到开发流程中，帮助团队高效管理开源组件的许可证合规性。

核心功能与特性

• 多语言支持：兼容主流编程语言及项目类型（如Java、Python、JavaScript、Go等）
• 依赖项深度扫描：自动识别项目直接及间接依赖的开源组件
• 许可证智能识别：精准匹配开源许可证类型（如MIT、Apache-2.0、GPL等）
• 合规性检查：基于预定义规则检测许可证冲突及合规风险
• 轻量级部署：优化镜像体积，适合本地开发及CI/CD环境快速启动

使用场景

• 开发团队本地开发阶段的许可证合规性自检
• CI/CD流水线集成（如GitHub Actions、GitLab CI），实现代码提交/构建环节的自动化扫描
• 开源项目维护者定期检查依赖许可证变更
• 企业内部代码库的合规性审计与风险管控

使用方法与配置说明

基本使用（Docker Run）

bash
docker run --rm \
  -v $(pwd):/scan-target \  # 挂载待扫描项目目录
  -e FOSSA_API_KEY=<your-api-key> \  # Fossa平台API密钥（从Fossa官网获取）
  fossa-analyzer \
  analyze /scan-target  # 执行扫描命令，指定扫描目录

关键配置参数

CI/CD集成示例（GitHub Actions）

yaml
jobs:
  license-scan:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Run Fossa Analyzer
        run: |
          docker run --rm \
            -v $(pwd):/app \
            -e FOSSA_API_KEY=${{ secrets.FOSSA_API_KEY }} \
            fossa-analyzer \
            analyze /app --format json --output fossa-report.json
      
      - name: Upload report
        uses: actions/upload-artifact@v3
        with:
          name: fossa-report
          path: fossa-report.json

本地配置文件使用

如需自定义扫描规则，可挂载Fossa配置文件（.fossa.yml）到容器：

bash
docker run --rm \
  -v $(pwd):/scan-target \
  -v $(pwd)/.fossa.yml:/root/.fossa.yml \  # 挂载自定义配置文件
  -e FOSSA_API_KEY=<your-api-key> \
  fossa-analyzer analyze /scan-target