GitHub открыл корпоративный контроль лицензий зависимостей

GitHub Enterprise Cloud начал проверять лицензии новых и измененных зависимостей перед слиянием кода. Организации могут задавать единые требования и оформлять исключения для отдельных пакетов.

GitHub 16 октября 2026 года перевел Open Source License Compliance в режим общей доступности. Функция помогает организациям проверять лицензии новых и измененных зависимостей до слияния кода.

Инструмент предназначен для клиентов GitHub Enterprise Cloud, в том числе использующих вариант сервиса с резидентным хранением данных. Проверки работают в репозиториях, где подключен GitHub Code Security. Доступность для других тарифов в объявлении не подтверждена.

Проверка встраивается в правила репозитория

Open Source License Compliance расширяет возможности dependency review action. На уровне предприятия можно определить допустимые лицензии, а затем применить эти требования к выбранным репозиториям через ruleset.

Для блокировки слияния используется условие Require license compliance results before merging. Когда пул-реквест добавляет зависимость или меняет ее версию, GitHub проверяет лицензию пакета. Обнаруженные несоответствия отображаются в самом пул-реквесте в виде отдельных аннотаций.

Разработчик не сможет устранить такое замечание обычным подтверждением проверки. GitHub предусматривает три варианта: удалить или заменить зависимость, изменить установленные организацией требования либо запросить исключение для конкретного пакета.

Запросы на исключения получили отдельную роль

Для работы с такими обращениями GitHub добавил корпоративную роль Enterprise Open-Source License Manager. Ее можно назначить отдельным сотрудникам или командам, которые рассматривают запросы и разрешают их закрытие.

Ответственные специалисты получают уведомления по электронной почте. Открытые обращения доступны в корпоративной консоли GitHub. Это позволяет отделить управление лицензионными ограничениями от обычного рецензирования кода.

Что проверить командам перед включением

Администраторам стоит убедиться, что GitHub Code Security активирован во всех нужных репозиториях, а ruleset назначен правильным проектам. Также потребуется определить перечень допустимых лицензий и назначить сотрудников, которые смогут рассматривать исключения.

Для учебных и исследовательских команд результат проверки не означает, что пакет разрешен для любого проекта. GitHub сопоставляет зависимость с требованиями конкретной организации. Перед слиянием стоит проверить аннотацию, условия лицензии и решение ответственного менеджера.