의존성 그래프의 라이선스 정보 정확도 개선
패키지 저장소 메타데이터를 우선 사용해 의존성 그래프의 라이선스 정확도와 완전성을 높였습니다.
교안에 영향
이전의 dependency graph 라이선스 안내는 이제 package registry 기준으로 달라져, 예전 화면 설명과 정확히 맞지 않을 수 있습니다.
요약
- dependency graph의 라이선스 정보를 npmjs.org, PyPI 같은 패키지 저장소 메타데이터에서 우선 가져오도록 바꿨습니다. - dependency insights, SBOM, GitHub Advanced Security의 오픈 소스 라이선스 준수 기능, dependency review action의 라이선스 표시 정확도와 범위를 개선했습니다. - version range를 기준으로 라이선스 이력을 추적해 새 버전을 일일이 DB에 추가하지 않아도 되게 했습니다. - ClearlyDefined 데이터는 계속 사용하되, 부족한 경우에만 보조적으로 활용하도록 변경했습니다.
바뀐 것
개선
- dependency graph가 라이선스 정보를 npmjs.org와 PyPI 같은 패키지 저장소 메타데이터에서 우선 가져오도록 바뀌었습니다.
- dependency insights, SBOMs, GitHub Advanced Security의 open source license compliance 기능, dependency review action의 라이선스 표시가 더 정확하고 완전해졌습니다.
- package ecosystem별로 canonical registry의 메타데이터를 사용하도록 dependency graph service가 업데이트되었습니다.
- version range 기준으로 license history를 추적해 각 버전을 개별 데이터베이스 항목으로 등록하지 않아도 되게 했습니다.
기타
- ClearlyDefined 데이터는 계속 유지하면서, 부족할 때만 fallback으로 사용하도록 했습니다.