Elysia Tools
导航
Development
审计 SPDX 2.3 或 CycloneDX 1.5 组件许可证，输出 SARIF 和失败依赖链
详情
识别宽松、弱/强/网络 copyleft、source-available、专有和未知许可证；应用允许/拒绝列表与策略预设，并把每个未通过组件回溯到根依赖。
执行
填写表单、运行工具，并在同一页面查看结果。
案例
相关内容
等待运行
工具使用指南
SBOM SPDX / CycloneDX 许可证策略审计器可检查 SPDX 2.3 或 CycloneDX 1.5 组件许可证，识别不同许可证类型，应用策略预设、允许或拒绝列表，并输出 SARIF 2.1.0 或 Markdown 报告及失败依赖链。
背景
团队需要审计应用的 SPDX 依赖树，并避免包含 AGPL-3.0-only 的组件进入发布流程。
问题
明确拒绝 AGPL-3.0-only，并生成包含违规依赖路径的 SARIF 报告。
如何使用
粘贴 SPDX JSON，选择自动检测，设置拒绝许可证并将报告格式设为 SARIF 2.1.0。
{"sbomFormat":"auto","policyPreset":"balanced","copyleftTolerance":"weak","allowedLicenses":"","deniedLicenses":"AGPL-3.0-only","failOnUnknown":true,"reportFormat":"sarif"}结果
工具识别违规组件，输出 SARIF 2.1.0 许可证策略报告，并提供从应用根节点指向该组件的失败依赖链。
背景
项目使用 CycloneDX 1.5 SBOM，需要在发布前检查组件许可证，并单独评估强 copyleft 依赖。
问题
使用策略预设和 Copyleft 容忍度筛选不符合项目要求的组件。
如何使用
上传 CycloneDX JSON 或 XML 文件，选择 CycloneDX 1.5，设置策略预设与 Copyleft 容忍度，然后生成 Markdown 报告。
{"sbomFormat":"cyclonedx","policyPreset":"strict","copyleftTolerance":"none","allowedLicenses":"MIT\nApache-2.0","deniedLicenses":"","failOnUnknown":true,"reportFormat":"markdown"}支持 SPDX 2.3 和 CycloneDX 1.5，可输入 JSON；CycloneDX 也支持 XML。
可以。可将 SPDX JSON 或 CycloneDX JSON/XML 粘贴到 SBOM 输入框，也可以上传文件。
在“拒绝的许可证”中填写许可证标识，例如 AGPL-3.0-only 或 BUSL-1.1。
默认会。取消“未知许可证判定失败”后，可不将未知许可证自动判定为失败。
支持 SARIF 2.1.0 和 Markdown 两种报告格式。
结果
工具根据严格策略、许可证允许列表和 copyleft 设置审计组件，并以 Markdown 形式列出未通过结果及相关依赖链。
背景
团队希望在 SBOM 中发现许可证信息不完整的组件，并在确认前避免其通过合规检查。
问题
要求未知许可证直接判定失败，同时保留对专有、source-available 和 copyleft 许可证的分类结果。
如何使用
输入 SPDX JSON 或 CycloneDX JSON/XML，选择宽松或平衡策略，保持“未知许可证判定失败”开启，并输出所需报告格式。
{"sbomFormat":"auto","policyPreset":"balanced","copyleftTolerance":"weak","allowedLicenses":"","deniedLicenses":"","failOnUnknown":true,"reportFormat":"markdown"}结果
未知许可证组件会被标记为未通过，工具同时按许可证类别整理审计结果并回溯失败组件的根依赖路径。