pip-license-checker

镜像概述和主要用途

许可证合规工具，用于检测Python PyPI包的许可证名称和类型，支持多种格式的依赖文件（Python、Clojure、JavaScript、iOS、Android等），能够识别公共领域、许可型、copyleft等各类开源许可证，帮助开发团队确保项目依赖的许可证合规性，降低法律风险。

核心功能和特性

多格式支持

• Python：包或requirements.txt（检测许可证名称和类型）
• Clojure：EDN文件（由lein-licenses生成，检测许可证类型）
• JavaScript：CSV文件（由license-checker生成，检测许可证类型）
• iOS：Apple Plist文件（由CocoaPods Acknowledgements plugin生成，检测许可证类型）
• Android：JSON文件（由Gradle License Plugin生成，检测许可证类型）
• 其他：CSV文件（含包名和许可证名列，检测许可证类型）

全面的许可证覆盖

覆盖各类免费/自由和开源许可证：

• 公共领域
• 许可型（如MIT、BSD）
• copyleft（如GPL、MPL）

灵活的使用方式

• Docker镜像（直接拉取或自行构建）
• 源码编译（需Leiningen）
• GitHub Action集成（适合CI/CD流程）

丰富的命令行选项

支持排除特定包、自定义报告格式、设置失败条件（如检测到copyleft许可证时返回非零退出码）等。

使用场景和适用范围

• 开发团队：需要检查项目依赖许可证合规性的团队
• 多项目类型：支持Python、Clojure、JavaScript、iOS、Android等项目
• CI/CD集成：可集成到持续集成流程，自动化许可证合规检查
• 合规审计：识别依赖中的copyleft或专有许可证，确保符合企业许可政策

详细使用方法和配置说明

安装

I. Docker

1. 拉取官方镜像（推荐）

从Docker Hub拉取：

docker pull pilosus/pip-license-checker

可指定版本标签（如0.41.0）或使用latest。

2. 自行构建镜像

git clone [***]
cd pip-license-checker
docker build -t pilosus/pip-license-checker .

II. 其他安装方式（可选）

• 源码编译：安装Leiningen，克隆仓库后编译
• GitHub Action：使用pilosus/action-pip-license-checker

Docker使用示例

基本用法（检查Python包）

直接指定Python包名及版本范围：

docker run -it --rm pilosus/pip-license-checker \
  java -jar app.jar 'aiostream==0.4.3' 'pygit2' 'aiohttp>3.7.1'

检查本地文件（挂载主机目录）

需检查本地文件（如requirements.txt）时，使用-v挂载主机目录至容器内/volume：

docker run -v `pwd`:/volume \
  -e GITHUB_TOKEN=your-gh-token \  # 可选，用于提高GitHub API速率限制
  -it --rm pilosus/pip-license-checker \
  java -jar app.jar \
  --exclude 'pylint.*' \  # 排除匹配正则的包
  --requirements '/volume/requirements.txt' \  # Python需求文件
  --external '/volume/licenses.csv' \  # 外部许可证文件
  --fail StrongCopyleft \  # 检测到StrongCopyleft时失败
  --fails-only \  # 仅显示失败项
  --verbose  # 详细输出

命令行工具使用示例

以下示例基于源码编译的lein run，独立jar包替换为java -jar pip-license-checker-[version]-standalone.jar。

查看帮助信息

lein run

检查单个Python包

lein run piny==0.6.0  # 指定版本
lein run aiostream     # 最新稳定版

检查requirements.txt文件

lein run --requirements resources/requirements.txt

输出示例：

aiohttp:3.7.2                       Apache Software License                                 Permissive
piny:0.6.0                          MIT License                                             Permissive
aiostream:0.4.3                     GPLv3                                                   StrongCopyleft
mo-collections:4.30.21121           Mozilla Public License 2.0 (MPL 2.0)                    WeakCopyleft
...

排除特定包

排除名称匹配aio.*的包：

lein run --requirements resources/requirements.txt --exclude 'aio.*'

生成JSON报告

lein run --requirements resources/requirements.txt --report-format json-pretty --totals

核心配置参数说明

许可证类型（用于--fail）

外部文件格式与选项

CSV格式

默认跳过表头，包名列索引0，许可证名列索引1，可通过--external-options自定义：

lein run -x data.csv --external-options '{:skip-header false :package-column-index 1}'

CocoaPods格式（iOS）

指定外部格式为cocoapods：

lein run -x Pods-Acknowledgements.plist --external-format cocoapods

Gradle格式（Android）

指定外部格式为gradle：

lein run -x licenses.json --external-format gradle

FAQ

Q1: 是否考虑Python包版本？许可证变更如何处理？

工具会解析包版本（类似pip），并仅检查解析版本的许可证。

Q2: 如何检查所有依赖（含传递依赖）？

工具仅检查显式依赖，可通过pip freeze生成完整依赖列表：

pip freeze > all-reqs.txt && lein run -r all-reqs.txt

Q3: 是否支持PEP-508的extras和markers？

不支持，需通过Q2方法生成实际安装的依赖列表。

免责声明

工具按"原样"提供，不保证信息准确性，不构成法律建议，不对使用造成的损害负责。

许可证

Copyright © 2020-2025 Vitaly Samigullin

基于Eclipse Public License 2.0或GPL-2.0 WITH Classpath-exception-2.0许可。SPDX-License-Identifier: EPL-2.0 OR GPL-2.0 WITH Classpath-exception-2.0