开源许可证合规性处于公共预览版

一句话看懂：GitHub 推出了一项公共预览版功能，允许企业级用户通过规则集在拉取请求阶段自动检查依赖项的许可证合规性，从而在代码进入生产环境前阻止不合规的开源组件。

事件核心：发生了什么

根据 GitHub Changelog 在 2026 年 6 月 30 日发布的信息，GitHub 推出了“开源许可证合规性”功能，目前处于公共预览阶段。该功能扩展了现有的“依赖项审查操作”，引入了一个企业级许可证策略。企业可以通过为仓库设置新的规则集条件——“合并前需要许可证合规性检查结果”——来激活该策略。当开发者提交包含新增或修改依赖项的拉取请求时，系统会自动检查这些依赖项的许可证是否符合预设策略。对于不合规的依赖项，GitHub 会在拉取请求中标注注解，开发者需要通过替换依赖项、修改许可证策略或创建包例外来处理。此外，该功能引入了新的预定义企业角色“企业开源许可证策略管理员”，负责审批和审查相关请求，策略管理员会通过邮件或企业控制台收到待处理通知。目前，该功能面向所有拥有 GitHub Advanced Security 代码安全许可证的 GitHub Enterprise Cloud 客户提供。

为什么重要

开源许可证纠纷是企业采用开源技术的主要法律风险之一。传统上，许可证合规检查依赖人工审查或第三方工具，流程割裂且容易遗漏。GitHub 将许可证合规检查直接嵌入到代码协作和 CI/CD 工作流中，使得合规性成为开发流程的自动关卡，而非事后审计。此举将合规管理从“研发部门”延伸至“法务与安全团队”，通过角色权限的设定，让策略制定与执行快速对齐。对于 GitHub 的企业版 SaaS 产品生态而言，这补全了从供应链安全到合规治理的自动化闭环，提升了 GitHub Enterprise Cloud 与 Azure DevOps 等竞品在企业级合规功能上的竞争力。

对用户/开发者/创作者的影响

对于企业采购方或技术决策者，该功能降低了因依赖项许可证合规性导致的潜在法律和财务风险。对于普通开发者，直接在拉取请求中看到不合规注解，意味着开发时需更关注所选开源组件的许可证类型，而不再仅仅关心功能实现。对于开源创作者，这项功能可能间接提升其项目的合规性审查频率——企业使用该策略后，会更主动梳理使用到的开源许可证类型，从而可能对 GPL、AGPL 等强“传染性”许可证的依赖采取更严格的控制。不过，目前公开信息显示，该功能仅面向 GitHub Enterprise Cloud 客户，个人版本或普通团队并不支持，普通开发者需要时间才能体验到这一变化。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

值得关注的后续

一、该功能是否会在未来推广至 GitHub Free 或 Team 版本。二、GitHub 是否将支持更多自定义规则，例如对不同许可证类型进行组合评分（如是否允许商业使用、是否要求衍生代码开源）。三、GitLab 及其他 CI/CD 平台是否会跟进类似功能，从而推动整个行业将许可证合规性检查标准化为代码审查的默认环节。

来源：GitHub Changelog