# Node.js 发布依赖清单与许可证策略复核

固定 Node.js 发布版本的依赖证据，用既定许可证策略复核外部 SBOM，对照已批准版本核查变化，交付可追溯的报告、例外记录和人工结论。

> 标准页面: https://elysiatools.com/zh/hubs/node-release-dependency-license-review-and-handoff

- **关键词:** Node.js 发布依赖复核, SBOM 许可证策略, package lock 审查, 依赖许可证交付

## 常见问题

### 这个流程会根据已安装包生成 SBOM 吗？

不会。需要提供与实际构建绑定的外部 SBOM。package.json 声明与受支持的锁文件依赖树，都不能单独证明最终发布产物包含哪些包。

### 报告通过是否代表许可证法律合规？

不是。报告只是对输入元数据执行所配置的策略。完整许可证文本、声明文件、分发义务与例外仍需适当的专业复核；本流程也不扫描漏洞。

### SemVer 校验器能否直接判断版本范围？

此处用于 2.4.3 这样的具体版本。^2.4.0、工作区引用、Git 引用或仓库标签需要记录各自解析语境，不能为了通过校验而改写。

### 生成 SARIF 后是否自动阻止 CI 发布？

不会。工具输出报告文本，CI 接入、留存策略和失败门禁需要另外实现并测试。应一并保存原始报告与策略版本。

## 相关内容

- [容器发布前的 Dockerfile 与环境配置审查](https://elysiatools.com/zh/hubs/container-release-dockerfile-and-env-review): 检查 Dockerfile 规则、镜像引用格式与环境变量重复键，解释预发布和生产配置差异，形成可核对的容器发布记录。
- [文件与数据差异对比工具](https://elysiatools.com/zh/hubs/file-data-diff-comparison-tools): 比较两个候选产物，先按格式选择合适的 diff 路径，再补做结构或语义复核，并在需要严格验收时完成完整性校验。
- [分离签名与文件完整性验证](https://elysiatools.com/zh/hubs/detached-signature-and-file-integrity-verification): 为已知文件生成或复现哈希，与发布方 checksum 对照，并使用单独确认信任来源的 Ed25519 公钥验证分离签名。