一句话看懂：GitHub 更新了依赖图中的许可证数据机制，改用 npmjs.org、PyPI 等官方软件包注册表作为首要信息源，将缺失许可证的比例从 45% 降到 24%，直接提升了 SBOM 和开源合规审查的可靠性。
事件核心：发生了什么
GitHub 在 2026 年 8 月 13 日的 Changelog 中宣布，依赖图服务现在优先从包管理器对应的官方注册表获取软件组件的许可证信息：npm 对应 npmjs.org、Python 对应 pypi.org、Maven 对应 deps.dev、Go 对应 pkg.go.dev，此外还覆盖 NuGet、RubyGems、crates.io、pub.dev 和 packagist.org 共九个生态。
此前 GitHub 主要依赖 ClearlyDefined 服务的深度优先文件扫描数据，虽然仍会将其作为回退来源，但官方注册表数据现在拥有更高优先级。系统还引入了版本区间追踪机制，以 Grafana 为例，其从 Apache-2.0 重授权为 AGPLv3 的历史，通过 1.0.0 至 7.5.17 和 8.0.0 以上两个版本区间分别记录，无需为每个版本建立单独条目。早期数据显示，依赖图中约 1.7 亿个包的许可证缺失率已从 45% 降至 24%。
为什么重要
许可证元数据是软件供应链合规的底层基础设施。对依赖大量开源组件的团队而言，SBOM 和许可证合规审查的准确性直接关系到法律风险与交付门槛。GitHub 将官方注册表设为首要来源，减少了对单一第三方服务的依赖，同时通过版本区间替代逐版本录入，使新版本发布后无需等待数据库更新即可获得许可证信息。
对 AI 开发者来说，许多主流 AI 框架、推理库和工具链的许可证信息将因此变得更清晰。随着开源合规审查逐步融入 CI/CD 流程，更准确的许可证数据能减少人工核对成本，也降低了构建和分发 AI 应用时的合规不确定性。
对用户/开发者/创作者的影响
对于启用 GitHub Advanced Security 开源许可证合规功能的组织，依赖审查页面和 SBOM 中展示的许可证将更准确，合规告警的误报率也有望下降。对于通过 dependency review action 在 PR 阶段检查依赖的开发者，新机制能更快暴露引入不合规组件的风险。</p
