Ein einziges AGPL-3.0-Paket in node_modules kann einen Closed-Source-SaaS-Anbieter verpflichten, jedem Nutzer den eigenen Quellcode anzubieten. Schon ein CC-BY-NC-Iconset lässt ein kostenpflichtiges Produkt gegen seine Lizenz verstoßen. Dieser Skill findet diese und neun weitere Lizenzprobleme in deinem Projekt und seinen Abhängigkeiten vor der Auslieferung und sagt dir, was du jeweils prüfen solltest.

Dein Agent führt einen Scanner für deinen Projektordner aus. Zunächst liest er die eigene Projektlizenz (package.json, pyproject.toml, composer.json, Cargo.toml und den Text der LICENSE-Datei) und ermittelt, ob das Projekt Closed Source (UNLICENSED, proprietär, keine Lizenz) oder Open Source ist ("private": true allein bedeutet nur „nicht auf npm veröffentlichen“). Danach liest er jede installierte Abhängigkeit: node_modules (npm, pnpm, Yarn, Bun), *.dist-info/METADATA in einer virtualenv, den vendor-Ordner von Composer oder package-lock.json und composer.lock, wenn nichts installiert ist. Er versteht SPDX-Ausdrücke (bei "A OR B" darfst du die freizügigere Lizenz wählen; "A AND B" bedeutet, dass beide gelten; GPL-Linking-Ausnahmen zählen als schwaches Copyleft), alte npm-Lizenzobjekte und SEE LICENSE IN, Python-Felder License-Expression, License und Klassifikatoren sowie reine Entwicklungsabhängigkeiten. Er führt weder npm noch pip oder composer aus und nutzt nie das Netzwerk. Das Ergebnis lautet BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Dies ist keine Rechtsberatung.

Was geprüft wird

BLOCKIEREN (Closed-Source-Projekte) - L01: Laufzeitabhängigkeiten mit AGPL, SSPL, EUPL, OSL und anderem Netzwerk-Copyleft - L02: nichtkommerzielle Lizenzen (CC-BY-NC, PolyForm Noncommercial, Commons Clause) - L03: Pakete unter der Business Source License (BUSL-1.1) vor ihrem Change Date

PRÜFEN (vor der Veröffentlichung prüfen)

• L11: GPL-Abhängigkeiten sowie Netzwerk-Copyleft in Open-Source-Projekten oder Entwicklungswerkzeugen

• L12: Laufzeitabhängigkeiten mit LGPL, MPL, EPL und anderem schwachem Copyleft in Closed-Source-Projekten

• L13: Elastic-2.0, PolyForm Small Business, JSON und andere Lizenzen mit Nutzungsbeschränkungen

• L14: Abhängigkeiten ohne Lizenz, mit einer individuellen oder einer unbekannten Lizenz

• L15: ein veröffentlichbares Paket ohne deklarierte Lizenz

• L16: eine deklarierte Open-Source-Lizenz ohne LICENSE-Datei

• L17: eine Projektlizenz, die kein gültiger SPDX-Ausdruck ist ("Apache 2.0", "GPLv3")

• L18: eine LICENSE-Datei oder ein zweites Manifest, das der deklarierten Lizenz widerspricht

Im Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek) mit integrierter SPDX-Lizenzliste

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein riskantes und ein sicheres Beispielprojekt (npm-Lockdatei, Python-Pakete und Composer) sowie der tatsächliche Scannerbericht zum riskanten Projekt

Grenzen

Er liest Lizenzmetadaten so, wie sie vorliegen: Lizenzheader in Quelldateien, die Verwendungsweise einer Abhängigkeit (mitgeliefert, verlinkt, separates Programm), die Kompatibilität zweier Open-Source-Lizenzen, Abhängigkeiten für Rust, Go, Java, .NET und Ruby sowie Yarn-Plug'n'Play-Caches werden nicht geprüft. Ob das Projekt Closed Source ist, wird aus seinen Manifesten abgeleitet. Dies ist keine Rechtsberatung, und NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 39 Dateien: SKILL.md, der Scanner unter scripts/ (7 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (29 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum riskanten Beispiel).

Anwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke das Archiv in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/). Bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff und keine Datenübertragung.