dsh-license-guard

发版、开源或被客户审计时，依赖里混进 GPL 却没人发现，往往要到「为什么用了 GPL 却没开源」这类问题出现时，才意识到义务从分发那一刻就已经触发。dsh-license-guard 面向这类「事后才发现」的许可风险：在几分钟的流程里扫一遍依赖树和项目自身的基础文件，把强传染、信息缺失这类常见问题提前标出来。

插件用五条规则覆盖依赖树许可风险与项目基础合规：高风险包括 GPL、AGPL 等强传染许可；中风险包括许可未知、仓库缺 LICENSE；低风险包括 LGPL、MPL、EPL 以及 package.json 未声明 license 字段。它不只盯第三方依赖，也会检查你自己的仓库是否让别人（以及你的下游）无法判断能否合法使用你的代码。

扫描通常几秒完成，退出码适合挂在 CI 里，在合并或发布前自动挡一层。需要说明的是，它不校验维护者填写的许可证是否真实准确，也不覆盖专利、商标、出口管制或 SSPL、BUSL 等非 SPDX 自定义协议等边界问题。

适合在发布前、开源前、供应链或合规审计前跑一遍的开发者、发布工程师和安全/合规同学；若你维护多模块 monorepo 或对外分发二进制/镜像，把许可检查固化进流水线，比半年后翻旧依赖清单要省事得多。