OSS Kodegennemgang

Formål og brugerintention: OSS Code Review-værktøjet analyserer repositories for at vurdere licens-overholdelse, sikkerhedsholdning, licensrisiko og softwarekvalitet i OSS-projekter. Målgruppen omfatter software-vedligeholdere, sikkerhedsingeniører, styringsteams og CI/CD-praktikere som vurderer en kandidatafhængighed, en PR eller en ny udgivelse. Det bruges under præ-mergesjek, politik‑håndhævelse eller periodiske revisioner for at frembringe handlingsbare fund, før ændringer når produktion.
Kerne-logik & funktioner: Værktøjet opbygger en Software Bill of Materials (SBOM), opdager licenser via SPDX-kompatible kortlægninger og korrelerer kendte sårbarheder fra offentlige advisories. Det beregner en risikoscore og fremhæver komponenter med høj prioritet. Nødvendige funktioner: repository-adgang, sprogbevidste parsere, regler-motor og eksportérbare rapporter. Avancerede muligheder (valgfri): tilpasselige policyskabeloner, inkrementelle/partielle scans, CI-integration, afhjælpning og dashboards på tværs af repositories. Værdien ligger i integreret styring: licens-trekant, sikkerhedsholdning og vedligeholdelsessignaler i ét flow, hvilket reducerer cyklustiden for overholdelsessekvenser.
Inputs & Outputs: Indgange: repository_url (streng, krævet), target_branch (streng, valgfrit, standard: main), access_token (streng, valgfrit), authentication_type (streng, valgfrit), languages (array, f.eks. [JavaScript, Python]), include_paths (array, valgfrit). Udgange: summary_report (objekt) med risk_score og issues, licenses_map (objekt), remediation_steps (array) og valgfrit sbom (SPDX-lignende JSON). Validering sikrer, at repo’et er tilgængeligt, tokens gyldige og parsere understøtter detekterede sprog; ellers returneres delresultater med diagnostik.
Algoritmer & beregninger: SBOM-generering; licensdetektion via SPDX; afhængighedsgrafkonstruktion; sårbarhedsmatchning mod CVE-råd; og vedligeholdelsesheuristikker. Risk_score er en vægtet kombination: 0,4+licensrisiko + 0,5+sikkerhedsrisiko + 0,1+vedligeholdelsesrisiko, afrundet til heltal. Udgangene inkluderer per-komponent risikoflag og foreslåede afhjælpninger.
Fejl & kanttilfælde: Håndtering af manglende eller ugyldige inputs, private repos, udløbne tokens, API-ratebegrænsninger og eksterne datafejl. Manglende sprogunderstøttelse giver delvise scanninger med diagnostik. Private repos kræver gyldige tokens; netværksfejl giver strukturerede fejlkoder og advarsler, ikke UI-meddelelser.
Industri/Region & Lokalisation: Følger SPDX licensdata-standarder og SBOM-formater. Understøtter gængse OSS-økosystemer og Git-hosting-udbydere (GitHub, GitLab, Bitbucket). Lokalisering er tekstbaseret; numeriske målinger bruger 0–100-skalaen.
Antagelser & Undtagelser: Forudsætter tilgængelige repository data og opdaterede advisories; udelukker runtime-kodekørsel, dynamisk analyse eller indlejring af kodeændringer. Ikke en juridisk licensvurdering; den viser politikovertrædelser til menneskelig gennemgang og CI-gating.