dsh-license-guard：DeepSeek Harness 的开源许可合规检查插件

它是做什么的？

License Guard 是 DeepSeek Harness（DSH）的开源许可合规检查插件，由 feely0208（深鲸 DeepWhale）维护，采用 MIT 协议。它扫描项目的依赖树，找出 GPL/AGPL 强传染许可、许可未知、项目缺 LICENSE 等风险，把「半年后才被客户审计发现」的问题提前到发布前几秒钟暴露。核心能力包括分级风险报告、HTML 报告输出与可挂 CI 的退出码，适合发布前、开源前或被审计时跑一遍。

核心功能

• 依赖树许可扫描：按高/中/低三级列出风险，高风险为 GPL/AGPL 强传染许可，中风险为许可未知或项目缺 LICENSE，低风险为 LGPL/MPL/EPL 及 package.json 缺 license 字段。
• 双向自查：不只看依赖，也检查项目自身是否缺 LICENSE、package.json 是否缺 license 字段，避免下游无法判断能否使用你的代码。
• 退出码可挂 CI：检查结果以退出码体现，能直接接入持续集成流程，在打包发布前自动拦截。
• HTML 报告输出：可把扫描结果导出为 HTML 报告，便于留档或提交给审计方。
• 内置样本演示：提供演示模式，用内置样本快速查看报告效果，无需先准备真实项目。

怎么使用这个插件？

在 DSH 中启用后，对当前项目目录执行一次扫描即可得到分级风险清单；也可以用演示模式先看内置样本的报告效果，或指定输出路径生成 HTML 报告。它只覆盖 5 条规则，涉及依赖树许可风险与项目基础文件，不覆盖专利条款、商标、出口管制以及 SSPL/BUSL 等非 SPDX 自定义协议；依赖声明的许可证值可能被维护者写错，本工具不校验其真实性。作为 DSH 插件，它也可作为纯命令行工具独立运行，不依赖 Harness 环境。

报错怎么排查？

扫描结果与预期不符时，先确认依赖声明的许可证值是否准确——维护者写错许可字段会导致误报或漏报，本工具不校验其真实性。若报告缺少项目自身的许可问题，检查项目根目录是否存在 LICENSE 文件、package.json 是否带 license 字段，这两项属于中低风险规则。若风险项涉及 SSPL/BUSL 等自定义协议或专利、商标、出口管制内容，属于工具明确不覆盖的范围，需按官方说明另行人工核查。