Один пакет AGPL-3.0 в node_modules может обязать закрытый SaaS предоставить собственный исходный код каждому пользователю, а один набор иконок CC-BY-NC делает платный продукт нарушителем лицензии. Этот навык находит эти и еще девять проблем с лицензиями в проекте и его зависимостях до выпуска и подсказывает, что проверить в каждом случае.

Ваш агент запускает сканер папки проекта. Сначала он читает лицензию самого проекта (package.json, pyproject.toml, composer.json, Cargo.toml и текст файла LICENSE) и определяет, закрытый ли у проекта код (UNLICENSED, proprietary, отсутствие лицензии) или открытый ("private": true само по себе означает лишь «не публиковать в npm»), затем читает все установленные зависимости: node_modules (npm, pnpm, Yarn, Bun), *.dist-info/METADATA в виртуальном окружении, папку vendor Composer либо package-lock.json и composer.lock, если ничего не установлено. Он распознает выражения SPDX (для "A OR B" можно выбрать более разрешительную лицензию; "A AND B" означает действие обеих; исключения GPL для связывания считаются слабым копилефтом), старые объекты license npm и SEE LICENSE IN, поля Python License-Expression, License и классификаторы, а также зависимости только для разработки. Он никогда не запускает npm, pip или composer и не использует сеть. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Это не юридическая консультация.

Что проверяет

БЛОКИРОВКА (проекты с закрытым кодом) - L01: зависимости времени выполнения под AGPL, SSPL, EUPL, OSL и другими лицензиями с сетевым копилефтом - L02: некоммерческие лицензии (CC-BY-NC, PolyForm Noncommercial, Commons Clause) - L03: пакеты под Business Source License (BUSL-1.1) до даты Change Date

ПРОВЕРКА (проверить перед релизом)

• L11: зависимости GPL и сетевой копилефт в проектах с открытым кодом или инструментах разработки

• L12: зависимости времени выполнения под LGPL, MPL, EPL и другими лицензиями со слабым копилефтом в проектах с закрытым кодом

• L13: Elastic-2.0, PolyForm Small Business, JSON и другие лицензии с ограничениями использования

• L14: зависимости без лицензии, с собственной или нераспознанной лицензией

• L15: пакет, допускающий публикацию, без объявленной лицензии

• L16: объявленная лицензия открытого ПО без файла LICENSE

• L17: лицензия проекта, не являющаяся корректным выражением SPDX ("Apache 2.0", "GPLv3")

• L18: файл LICENSE или второй манифест, противоречащий объявленной лицензии

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека) со встроенным списком лицензий SPDX

• Руководство по правилам с обоснованием и более безопасным подходом для каждого правила

• Пример проекта с рисками и его безопасная версия (lock-файл npm, пакеты Python и Composer), а также реальный отчет сканера по проекту с рисками

Ограничения

Он читает метаданные лицензий в том виде, в каком они записаны: не проверяет лицензионные заголовки в исходных файлах, способ использования зависимости (включение в поставку, связывание, отдельная программа), совместимость двух лицензий открытого ПО, зависимости Rust, Go, Java, .NET и Ruby, а также кеши Yarn Plug'n'Play. Закрытость исходного кода проекта определяется по его манифестам. Это не юридическая консультация, а NOT FLAGGED не дает гарантий.

Содержимое

Один ZIP-архив с 39 файлами: SKILL.md, сканер в scripts/ (7 файлов Python), references/rules.md (все правила с обоснованием и более безопасным подходом), а также examples/ (29 файлов примеров и report.md, реальный вывод сканера для примера с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и никуда ничего не отправляют.