Revisión de Código OSS

Propósito e intención del usuario: la herramienta OSS Code Review analiza repositorios para evaluar cumplimiento de licencias, postura de seguridad, riesgo de licencias y calidad del software en proyectos OSS. Usuarios objetivo: mantenedores de software, ingenieros de seguridad, equipos de gobernanza y practicantes de CI/CD que evalúan una dependencia candidata, un PR o una nueva versión. Se utiliza durante verificaciones previas a la fusión, aplicación de políticas o auditorías periódicas para mostrar hallazgos accionables antes de que los cambios lleguen a producción.
Lógica central y características: genera una SBOM (Software Bill of Materials), detecta licencias mediante mappings compatibles con SPDX y correlaciona vulnerabilidades conocidas de avisos públicos. Calcula una puntuación de riesgo y resalta componentes de alta prioridad. Funciones requeridas: acceso al repositorio, analizadores por lenguaje, motor de reglas y informes exportables. Capacidades avanzadas (opcionales): plantillas de políticas personalizables, escaneos incrementales/parciales, integración con CI, orientación de remediación y paneles de control entre repositorios. Valor único: gobernanza integrada: triángulo de licencias, postura de seguridad y señales de mantenibilidad en un solo flujo, reduciendo el ciclo de revisión de cumplimiento.
Entradas y salidas: Entradas: repository_url (cadena, obligatorio), target_branch (cadena, opcional, por defecto: main), access_token (cadena, opcional), authentication_type (cadena, opcional), languages (array, p. ej. [JavaScript, Python]), include_paths (array, opcional). Salidas: summary_report (objeto) con risk_score y issues, licenses_map (objeto), remediation_steps (array) y SBOM opcional (JSON tipo SPDX). Validación: el repositorio debe ser accesible, tokens válidos y analizadores soporten los lenguajes detectados; si no, resultados parciales con diagnósticos.
Algoritmos y cálculos: generación SBOM; detección de licencias vía SPDX; construcción de grafo de dependencias; emparejamiento de vulnerabilidades con CVE; heurísticas de mantenibilidad. Risk_score es una combinación ponderada: 0,4*riesgo_licencia + 0,5*riesgo_seguridad + 0,1*riesgo_mantenibilidad, redondeado. Salidas: indicadores de riesgo por componente y remediaciones sugeridas.
Errores y casos límite: manejo de entradas faltantes o inválidas, repos privados, credenciales caducadas, límites de API y falta de datos externos. Soporte de idioma incompleto produce escaneos parciales con diagnósticos. Repos privados requieren tokens válidos; fallos de red generan códigos de error estructurados y advertencias, no mensajes UI.
Industria/Localización: sigue estándares SPDX y formatos SBOM. Soporta ecosistemas OSS y proveedores de hosting Git (GitHub, GitLab, Bitbucket). Localización textual; métricas numéricas en escala 0–100 con etiquetas en inglés.
Supuestos y exclusiones: se asume que los datos del repositorio están disponibles y que los avisos están actualizados; excluye ejecución de código en tiempo real, análisis dinámico o cambios de código embebidos. No es una verificación legal de licencias; expone violaciones de políticas para revisión humana y gating de CI.