license_finder Docker 镜像下载 - 轩辕镜像

Pivotal License Finder 镜像文档

镜像概述

Pivotal License Finder 是一款专注于开源许可证合规性管理的工具镜像，基于Ruby开发，旨在自动识别项目依赖项的许可证信息，帮助开发团队和企业确保使用的开源组件符合内部合规策略及外部法律要求。该镜像集成了许可证扫描引擎、依赖解析器和报告生成模块，支持主流开发语言和构建工具，可无缝集成到开发和CI/CD流程中。

核心功能与特性

• 多语言与包管理器支持：兼容Java(Maven/Gradle)、JavaScript(npm/yarn)、Python(pip)、Ruby(Bundler)、Go(mod)等主流技术栈
• 全面的许可证识别：内置许可证数据库，可识别超过200种开源许可证（如MIT、Apache-2.0、GPL等）及其变体
• 合规报告生成：支持HTML、JSON、CSV等多种输出格式，报告包含依赖明细、许可证类型、合规状态等关键信息
• 冲突检测与风险提示：自动识别许可证冲突（如GPL依赖与商业项目冲突），并提供风险等级评估
• 灵活的配置策略：支持自定义允许/禁止许可证列表、忽略特定依赖或许可证规则
• CI/CD集成能力：提供命令行接口，可通过脚本集成到Jenkins、GitHub Actions等CI/CD工具中实现自动化检查

使用场景

• 开发阶段合规检查：开发团队在日常开发中定期扫描项目依赖，确保引入的开源组件符合团队合规要求
• 发布前合规审计：企业在软件产品发布前，对所有依赖项进行全面许可证审计，降低法律风险
• 第三方组件评估：评估外部引入的SDK或库时，快速获取其许可证信息，判断是否符合引入标准
• CI/CD自动化检查：在代码提交或构建阶段自动执行许可证扫描，阻止不合规依赖进入代码库

使用方法与配置说明

基本扫描命令

通过挂载项目目录到容器，执行基础扫描并生成默认报告：

docker run -v /本地项目路径:/project pivotal/license-finder analyze /project

注：/本地项目路径需替换为实际项目根目录路径，容器会自动识别项目类型并扫描依赖

生成指定格式报告

使用--format参数指定报告格式，--output指定输出路径：

# 生成HTML报告（默认格式）
docker run -v /本地项目路径:/project pivotal/license-finder analyze /project --format html --output /project/license-report.html

# 生成JSON报告（便于机器解析）
docker run -v /本地项目路径:/project pivotal/license-finder analyze /project --format json --output /project/license-report.json

自定义合规策略

通过项目根目录下的license_finder.yml配置文件定义合规规则，示例配置：

# license_finder.yml
allowed_licenses:
  - MIT
  - Apache-2.0
  - BSD-3-Clause
ignored_dependencies:
  - name: "低风险内部依赖包"  # 忽略特定依赖
    version: "1.0.0"
ignored_licenses:
  - "LicenseRef-Proprietary"  # 忽略私有许可证

挂载配置文件并应用策略：

docker run -v /本地项目路径:/project -v /本地配置路径/license_finder.yml:/project/license_finder.yml pivotal/license-finder analyze /project --config /project/license_finder.yml

关键参数说明

环境变量配置

通过环境变量调整容器运行参数：

Docker Compose 集成示例

创建docker-compose.yml实现配置持久化和简化操作：

version: '3.8'
services:
  license-scan:
    image: pivotal/license-finder
    volumes:
      - ./my-project:/project  # 挂载项目目录
      - ./config:/config       # 挂载配置文件目录
      - cache-volume:/root/.license_finder/cache  # 持久化缓存
    environment:
      - LOG_LEVEL=debug
      - HTTPS_PROXY=[***]
    command: >
      analyze /project 
      --config /config/license_finder.yml 
      --format json 
      --output /project/reports/license.json 
      --fail-on non-allowed

volumes:
  cache-volume:  # 缓存卷用于加速重复扫描

高级配置：忽略特定依赖

通过命令行参数临时忽略单个依赖（需指定名称和版本）：

docker run -v /本地项目路径:/project pivotal/license-finder analyze /project --ignore "dependency-name:1.2.3"

注意事项

1. 依赖文件要求：项目根目录需存在包管理文件（如package.json、pom.xml等），否则无法识别依赖
2. 网络要求：首次扫描需访问外部包仓库（如npmjs、Maven Central）以下载依赖元数据，建议配置代理或确保网络通畅
3. 缓存优化：通过持久化缓存目录（如示例中的cache-volume）可减少重复扫描的网络请求和时间消耗
4. 配置文件优先级：命令行参数优先级高于配置文件，相同配置项会覆盖配置文件设置