OSS Kodgranskning

Syfte och användaravsikt: Verktyget OSS Code Review analyserar arkiv för att bedöma licenstillbörlighet, säkerhetsstatus, licensrisk och programvarukvalitet i OSS-projekt. Målgrupp är mjukvaruunderhållare, säkerhetsingenjörer, styrningsteam och CI/CD-praktiker som utvärderar en kandidatberoende, PR eller ny release. Det används under prerelease-kontroller, policyramverk eller regelbundna revisioner för att visa handlingsbara fynd innan ändringar går i produktion.
Kärnlögn och funktioner: Bygger en Software Bill of Materials (SBOM), upptäcker licenser via SPDX-kompatibla kartor och korrelerar kända sårbarheter från offentliga rådgivningar. Beräknar en riskpoäng och markerar komponenter med hög prioritet. Obligatoriska funktioner: repository-åtkomst, språkmedvetna parsers, regelmotor och exportbara rapporter. Avancerade möjligheter (valfria): anpassningsbara policytv‑mallar, inkrementella/partiella skanningar, CI-integration, avhjälpandsanvisningar och dashboards över flera arkiv. Unik nytta: integrerad styrning–licenstriangel, säkerhetsstatus och underhållbarhetssignaler i ett enda flöde, vilket minskar cykeltiden för överensstämmelsegranskningar.
Ingångar och utgångar: Ingångar: repository_url (sträng, krav), target_branch (sträng, valfritt, standard: main), access_token (sträng, valfritt), authentication_type (sträng, valfritt), languages (array, t.ex. [JavaScript, Python]), include_paths (array, valfritt). Utgångar: summary_report (objekt) med risk_score och issues, licenses_map (objekt), remediation_steps (array) och valfritt SBOM (SPDX-liknande JSON). Validering säkerställer att arkivet är åtkomligt, tokens giltiga och parsers stödjer upptäckta språk; annars returneras delresultat med diagnostik.
Algoritmer och beräkningar: SBOM-generering; licensdetektering via SPDX; beroendegrafkonstruktion; sårbarhetsmatchning mot CVE-råd; och underhållbarhetsheuristiker. Risk_score är en viktad kombination: 0,4*licensrisk + 0,5+säkerhetsrisk + 0,1*underhållsrisk, avrundat till heltal. Utgångar inkluderar per-komponent riskflaggor och föreslagna avhjälpanden.
Felsituationer och kantfall: Hantering av saknade eller ogiltiga indata, privata arkiv, utgångna tokens, API-tak och externa data. Otillräcklig språkstöd ger partiella skanningar med diagnostik. Privata arkiv kräver giltiga tokens; nätverksfel ger strukturerade felkoder och varningar, inte UI-meddelanden.
Näringsliv/Regionalisering och Lokalisation: följer SPDX-licensstandarder och SBOM-format. Stödjer vanliga OSS-ekosystem och Git-värdar (GitHub, GitLab, Bitbucket). Lokalisering är textbaserad; numeriska mått använder standard 0–100-skala med engelska etiketter.
Antaganden och undantag: Förutsätter tillgång till arkivdata och uppdaterade advisories; utesluter runtime-kodkörning, dynamisk analys eller inbäddning av kodändringar. Ingen juridisk licensbedömning; den visar policyöverträdelser för mänsklig granskning och CI-gating.