GitHub开源许可合规正式可用：企业规则集可拦不合规依赖进主干

2026年10月16日，GitHub 宣布 Open source license compliance 对 GitHub Enterprise Cloud（含数据驻留 GHEC）正式可用，前提是仓库启用了 GitHub Code Security。[1]

做法是：在企业级 license policy 之上，用 ruleset 条件「Require license compliance results before merging」。PR 新增或改依赖时自动检查许可；不合规项会在 PR 上标注，需替换依赖、改政策或建 package exception 才能过。[1]

预览期之后补了：数据驻留客户的许可信息、政策变更审计日志、下载/更新政策的 API，以及供 coding agent 查询包是否合规的接口。还新增企业角色「Enterprise Open-Source License Manager」。[1]

对 Go 仓库来说，常见卡点是传递依赖里混进 AGPL / 不明许可。先把企业允许列表定清楚，再开强制检查，比事后扫 SBOM 省事。

说明：功能范围以 GitHub Changelog 与文档为准；个人免费仓库不在本次 GA 叙述里。

来源

[1] Open source license compliance generally available，GitHub Changelog，2026年10月16日。

#GitHub #开源许可 #LicenseCompliance #Go #企业合规