Homebrew 许可证指南Formula 的 SPDX 声明语法与 HOMEBREW_FORBIDDEN_LICENSES 合规拦截全解析【免费下载链接】brew The Package Manager for Everywhere项目地址: https://gitcode.com/GitHub_Trending/br/brewHomebrew 为进入homebrew/core的每一个 Formula 都建立了一套基于 SPDX License List 的许可证licence声明规范并把这套声明与安装流程深度绑定——不仅用于元数据展示与审计还能通过HOMEBREW_FORBIDDEN_LICENSES环境变量在安装阶段直接拦截不符合许可策略的软件及其依赖。本文以仓库中的 docs/Licence-Guidelines.md 为主体结合 Homebrew 的 Ruby 源码与测试用例系统讲解许可证的声明语法、复杂 SPDX 表达式的语义以及禁装策略的真实判定逻辑。读完你既能写出规范合法的license声明也能在企业或合规场景下精确配置许可证黑名单。总体要求DFSG 兼容是进入homebrew/core的前提根据官方指南homebrew/core中的 Formula 所使用的许可证必须与 Debian Free Software GuidelinesDFSG兼容或者依据 DFSG 的公共领域public domain判定标准正式释入公共领域。也就是说许可证审查是 Homebrew 上游合并公式时的硬性门槛它约束的是这个软件能不能进官方核心仓库而不是用户能不能在本机安装。在实现层面Homebrew 并不自带全量许可证知识而是把 SPDX License List 的官方 JSON 数据本地缓存为 Library/Homebrew/data/spdx/spdx_licenses.json 与 Library/Homebrew/data/spdx/spdx_exceptions.json。Library/Homebrew/utils/spdx.rb 中的SPDX模块统一负责读取、校验与逻辑判断对应函数如license_data、valid_license?、licenses_forbid_installation?等这意味着你写下的每一个标识符最终都会与该离线数据做大小写不敏感比对。为 Formula 声明许可证三种基础写法license是 Formula 的公开 API 方法其完整定义位于 Library/Homebrew/formula.rb#L4104-L4110无参调用时返回当前已设置的licenses传参时则完成设置类型为SPDX::LicenseExpression。写法一SPDX 标识符字符串绝大多数情况直接传 SPDX License List 中的标识符字符串即可license MIT写法二公共领域使用符号公共领域不能用普通字符串表达需用:public_domain符号license :public_domain写法三无法用 SPDX 表达如果该 Formula 的许可证实在无法用任何 SPDX 表达式表示例如多份相互冲突的自定义许可则显式声明:cannot_representlicense :cannot_represent从 Library/Homebrew/utils/spdx.rb#L14-L18 的源码可以看到Homebrew 共定义了三个被允许的符号常量ALLOWED_LICENSE_SYMBOLS [:public_domain, :cannot_represent, :truncated]。其中:truncated是内部用途——当许可证文本超过 OCI 注解的长度限制默认 255 字符时SPDX.truncate_license会在保留一段合法的AND前缀后追加该标记避免整体丢弃见 Library/Homebrew/utils/spdx.rb#L210-L240。声明之后的校验链路写错的标识符不会只是摆着难看。SPDX.valid_license?Library/Homebrew/utils/spdx.rb#L87-L92会去掉末尾的后与本地 SPDX 数据做忽略大小写的匹配SPDX.deprecated_license?还会标记已经过时的 SPDX 标识符。这些校验服务于brew audit等检查流程用于在提交公式前发现笔误。此外符号类许可证在序列化时会统一映射为LicenseRef-Homebrew-*前缀的文本形式license_expression_to_string中Symbol分支的实现例如:public_domain会展开为LicenseRef-Homebrew-public-domain确保与 SPDX 体系外的语义也能在标准文本通道中传递。复杂 SPDX 许可证表达式组合、例外与嵌套很多软件由多份许可证共同约束甚至允许使用者在若干许可证之间做选择。Homebrew 支持用 Ruby 原生数据结构还原 SPDX License Expression Guidelines 的全部组合能力。加号允许更高版本表示使用者可以选择同一许可证的后续版本license EPL-1.0GNU 系必须显式后缀-only与-or-laterGPL、LGPL、AGPL、GFDL这四类 GNU 许可证不允许使用必须用-only仅该版本或-or-later该版本或更高版本明确表述是否允许后续版本license LGPL-2.1-onlylicense GPL-1.0-or-laterany_of任选其一即可表示使用方可以在列出的许可证中选择任何一个来遵守license any_of: [MIT, 0BSD]all_of必须同时满足表示使用方必须同时遵守列出的全部许可证license all_of: [MIT, 0BSD]with许可证例外条款表示某个许可证附带一个 SPDX 例外exception典型如 LLVM 编译器的Apache-2.0LLVM-exception组合license MIT { with: LLVM-exception }例外标识符同样需要真实存在于本地 Library/Homebrew/data/spdx/spdx_exceptions.json 中SPDX.valid_license_exception?会做逐条校验。自由嵌套一张足够复杂的表达式以上结构可以无限制嵌套组合官方指南给出的完整示例即是license any_of: [ MIT, :public_domain, { all_of: [0BSD, Zlib, Artistic-1.0], Apache-2.0 { with: LLVM-exception } }, ]语义解读使用方要么选MIT要么选公共领域要么同时满足0BSD、Zlib、Artistic-1.0并且在使用Apache-2.0时附带LLVM-exception例外。Ruby 结构如何翻译成 SPDX 文本如果你好奇这些 Hash 与数组最终在输出/报错时是什么样子看 Library/Homebrew/utils/spdx.rb#L119-L156 的license_expression_to_string即可any_of:被拼接为ORall_of:被拼接为AND{ X { with: Y } }被拼接为X WITH Y必要时用括号包裹嵌套子表达式例如(0BSD AND Zlib AND Artistic-1.0 AND Apache-2.0 WITH LLVM-exception)。这意味着错误提示、日志和文档输出中的表达式始终符合标准 SPDX 语法可被其他工具直接读取。用HOMEBREW_FORBIDDEN_LICENSES拦截安装如果说上面的声明语法是上游如何标注那么禁装变量就是下游如何执行。HOMEBREW_FORBIDDEN_LICENSES让使用者组织策略执行者声明哪些许可证的软件及其依赖一律不得安装。设置方式与基本语义在 shell 环境中把它设为一个以空格分隔的许可证列表即可。若要禁止MIT、Artistic-1.0以及所有:public_domain声明的公式export HOMEBREW_FORBIDDEN_LICENSESMIT Artistic-1.0 public_domain设置后Homebrew 会拒绝安装任何声明了MIT的公式更重要的是禁止会沿着依赖树传播——即使主公式本身许可证合规只要它声明了对某个MIT公式的依赖同样会被拒绝源码路径见 Library/Homebrew/formula_installer.rb#L1823-L1833错误信息中会明确报告The installation ofXhas a dependency onYwhere all its licenses were forbidden。复杂表达式下的判定语义any_of看全部、all_of看任一禁装判断不是简单的字符串包含而是对整套表达式做布尔推理其核心算法在SPDX.licenses_forbid_installation?Library/Homebrew/utils/spdx.rb#L266-L287对any_of:列表只有当每一个候选许可证都被禁时才禁止安装源码取.all?——因为只要还有一条合规出路使用方就可选它安装依然合法对all_of:列表只要任意一个被禁即禁止安装源码取.any?——因为全部条款都必须同时满足缺一不可对with:例外结构直接判断基础许可证是否被禁。沿用上例禁MIT、Artistic-1.0、public_domain来验证被拒绝安装的声明license any_of: [MIT, Artistic-1.0] # 两条出路全部被禁 → 拒绝license all_of: [MIT, 0BSD] # 存在被禁的 MIT → 拒绝被允许安装的声明license any_of: [MIT, 0BSD] # 仍有 0BSD 可选 → 放行以上判定行为在 Library/Homebrew/test/utils/spdx_spec.rb 的.licenses_forbid_installation?测试组中有大量对应断言例如any_of在单个禁项下返回false、在多项全禁时返回trueall_of含任一禁项即返回true可作为行为契约参考。版本语义与 GNU-only/-or-later的黑名单写法黑名单同样支持版本策略。HOMEBREW_FORBIDDEN_LICENSES中带的条目会禁掉该许可证及其所有未来更高版本。例如要禁止Artistic-1.0、Artistic-2.0及今后任何 Artistic 版本export HOMEBREW_FORBIDDEN_LICENSESArtistic-1.0对 GNU 系许可证则用-only/-or-later表达版本范围。下面的配置会禁止GPL-2.0、LGPL-2.1与LGPL-3.0但放行GPL-3.0export HOMEBREW_FORBIDDEN_LICENSESGPL-2.0-only LGPL-2.1-or-later这里的关键在于or-later 会覆盖其后的所有版本LGPL-2.1-or-later被禁等价于 2.1 及其后全部 LGPL 都被禁。实现位于SPDX.license_version_info与SPDX.forbidden_licenses_include?Library/Homebrew/utils/spdx.rb#L252-L309解析器用正则把GPL-2.0-or-later拆成[GPL, 2.0, true]名字、版本、是否允许更高版本三元组随后执行字符串版本比较——当黑名单条目允许更高版本且其版本号 ≤ 公式声明版本号时判定命中否则仅在版本号完全相等时命中。注意该实现依据版本号字符串比较判断前会先做名称对齐GPL对GPL-3.0。非法的黑名单条目会怎样如果黑名单里混入了 SPDX 中不存在的标识符比如拼写错误Homebrew 并不会直接崩溃而是用opoo橙色警告提示哪些条目无效、不会被生效并指引你通过brew info formula查看公式的真实许可证或对照官方 SPDX License List 修正见 Library/Homebrew/formula_installer.rb#L1806-L1814。触发时机与可选关联变量许可证校验发生在 Formula 安装过程中对应方法为FormulaInstaller#forbidden_license_checkLibrary/Homebrew/formula_installer.rb#L1786-L1844。它先解析环境变量、把public_domain等字面量规整为符号再按先依赖、后本体的顺序执行判定命中时抛出CannotInstallFormulaError终止安装。如果只想单独安装公式而不做依赖级联检查可使用安装时与依赖相关的选项如--ignore-dependencies判定逻辑对仅依赖模式也有独立分支。HOMEBREW_FORBIDDEN_LICENSES的官方定义与说明记录在 Library/Homebrew/env_config.rb#L376-L379。与之配套的还有两个归属类变量HOMEBREW_FORBIDDEN_OWNER设置禁项的责任人默认you与HOMEBREW_FORBIDDEN_OWNER_CONTACT联系方式它们会被拼进拒绝安装的错误信息里方便在组织内多人共用同一台构建机时让报错者知道该找谁、怎么找见 Library/Homebrew/formula_installer.rb#L1818-L1821。安装集成侧的整套行为含错误消息断言由 Library/Homebrew/test/formula_installer_spec.rb#L1281 的#forbidden_license_check用例覆盖。实战排查速查查看某公式实际声明的许可证运行brew info formula输出中会列出其许可证标识与依赖的许可证信息这是核对黑名单误判时最直接的命令。验证复杂表达式是否会被拦截参照上文any_of全禁才禁、all_of任一即禁的判定规则逐层展开若表达式被嵌套规则递归应用于每一层。合规提交上游 Formula确保许可证满足 DFSG 兼容要求使用规范的 SPDX 标识符GNU 系许可证务必写-only/-or-later而非裸写版本号。临时放开某项限制在启动brew install的同一 shell 中unset HOMEBREW_FORBIDDEN_LICENSES或修正列表注意该变量按进程继承需在真正执行 brew 的会话中生效。小结许可证声明与合规拦截在 Homebrew 中是一体两面license方法Library/Homebrew/formula.rb#L4104-L4110负责以标准 SPDX 语法标注公式的授权方式支撑homebrew/core的 DFSG 合规审查而HOMEBREW_FORBIDDEN_LICENSES则把同一份声明在安装期变成可执行的安全边界——精确到复杂表达式的any_of/all_of语义、与-or-later的版本覆盖范围并沿依赖树向下传播。理解 Library/Homebrew/utils/spdx.rb 中那套递归判定算法你就能准确预判任何一条黑名单配置对任意 Formula 的实际影响把许可证合规从人工审查真正落到自动化防线之上。【免费下载链接】brew The Package Manager for Everywhere项目地址: https://gitcode.com/GitHub_Trending/br/brew创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Homebrew 许可证指南：Formula 的 SPDX 声明语法与 HOMEBREW_FORBIDDEN_LICENSES 合规拦截全解析
Homebrew 许可证指南Formula 的 SPDX 声明语法与 HOMEBREW_FORBIDDEN_LICENSES 合规拦截全解析【免费下载链接】brew The Package Manager for Everywhere项目地址: https://gitcode.com/GitHub_Trending/br/brewHomebrew 为进入homebrew/core的每一个 Formula 都建立了一套基于 SPDX License List 的许可证licence声明规范并把这套声明与安装流程深度绑定——不仅用于元数据展示与审计还能通过HOMEBREW_FORBIDDEN_LICENSES环境变量在安装阶段直接拦截不符合许可策略的软件及其依赖。本文以仓库中的 docs/Licence-Guidelines.md 为主体结合 Homebrew 的 Ruby 源码与测试用例系统讲解许可证的声明语法、复杂 SPDX 表达式的语义以及禁装策略的真实判定逻辑。读完你既能写出规范合法的license声明也能在企业或合规场景下精确配置许可证黑名单。总体要求DFSG 兼容是进入homebrew/core的前提根据官方指南homebrew/core中的 Formula 所使用的许可证必须与 Debian Free Software GuidelinesDFSG兼容或者依据 DFSG 的公共领域public domain判定标准正式释入公共领域。也就是说许可证审查是 Homebrew 上游合并公式时的硬性门槛它约束的是这个软件能不能进官方核心仓库而不是用户能不能在本机安装。在实现层面Homebrew 并不自带全量许可证知识而是把 SPDX License List 的官方 JSON 数据本地缓存为 Library/Homebrew/data/spdx/spdx_licenses.json 与 Library/Homebrew/data/spdx/spdx_exceptions.json。Library/Homebrew/utils/spdx.rb 中的SPDX模块统一负责读取、校验与逻辑判断对应函数如license_data、valid_license?、licenses_forbid_installation?等这意味着你写下的每一个标识符最终都会与该离线数据做大小写不敏感比对。为 Formula 声明许可证三种基础写法license是 Formula 的公开 API 方法其完整定义位于 Library/Homebrew/formula.rb#L4104-L4110无参调用时返回当前已设置的licenses传参时则完成设置类型为SPDX::LicenseExpression。写法一SPDX 标识符字符串绝大多数情况直接传 SPDX License List 中的标识符字符串即可license MIT写法二公共领域使用符号公共领域不能用普通字符串表达需用:public_domain符号license :public_domain写法三无法用 SPDX 表达如果该 Formula 的许可证实在无法用任何 SPDX 表达式表示例如多份相互冲突的自定义许可则显式声明:cannot_representlicense :cannot_represent从 Library/Homebrew/utils/spdx.rb#L14-L18 的源码可以看到Homebrew 共定义了三个被允许的符号常量ALLOWED_LICENSE_SYMBOLS [:public_domain, :cannot_represent, :truncated]。其中:truncated是内部用途——当许可证文本超过 OCI 注解的长度限制默认 255 字符时SPDX.truncate_license会在保留一段合法的AND前缀后追加该标记避免整体丢弃见 Library/Homebrew/utils/spdx.rb#L210-L240。声明之后的校验链路写错的标识符不会只是摆着难看。SPDX.valid_license?Library/Homebrew/utils/spdx.rb#L87-L92会去掉末尾的后与本地 SPDX 数据做忽略大小写的匹配SPDX.deprecated_license?还会标记已经过时的 SPDX 标识符。这些校验服务于brew audit等检查流程用于在提交公式前发现笔误。此外符号类许可证在序列化时会统一映射为LicenseRef-Homebrew-*前缀的文本形式license_expression_to_string中Symbol分支的实现例如:public_domain会展开为LicenseRef-Homebrew-public-domain确保与 SPDX 体系外的语义也能在标准文本通道中传递。复杂 SPDX 许可证表达式组合、例外与嵌套很多软件由多份许可证共同约束甚至允许使用者在若干许可证之间做选择。Homebrew 支持用 Ruby 原生数据结构还原 SPDX License Expression Guidelines 的全部组合能力。加号允许更高版本表示使用者可以选择同一许可证的后续版本license EPL-1.0GNU 系必须显式后缀-only与-or-laterGPL、LGPL、AGPL、GFDL这四类 GNU 许可证不允许使用必须用-only仅该版本或-or-later该版本或更高版本明确表述是否允许后续版本license LGPL-2.1-onlylicense GPL-1.0-or-laterany_of任选其一即可表示使用方可以在列出的许可证中选择任何一个来遵守license any_of: [MIT, 0BSD]all_of必须同时满足表示使用方必须同时遵守列出的全部许可证license all_of: [MIT, 0BSD]with许可证例外条款表示某个许可证附带一个 SPDX 例外exception典型如 LLVM 编译器的Apache-2.0LLVM-exception组合license MIT { with: LLVM-exception }例外标识符同样需要真实存在于本地 Library/Homebrew/data/spdx/spdx_exceptions.json 中SPDX.valid_license_exception?会做逐条校验。自由嵌套一张足够复杂的表达式以上结构可以无限制嵌套组合官方指南给出的完整示例即是license any_of: [ MIT, :public_domain, { all_of: [0BSD, Zlib, Artistic-1.0], Apache-2.0 { with: LLVM-exception } }, ]语义解读使用方要么选MIT要么选公共领域要么同时满足0BSD、Zlib、Artistic-1.0并且在使用Apache-2.0时附带LLVM-exception例外。Ruby 结构如何翻译成 SPDX 文本如果你好奇这些 Hash 与数组最终在输出/报错时是什么样子看 Library/Homebrew/utils/spdx.rb#L119-L156 的license_expression_to_string即可any_of:被拼接为ORall_of:被拼接为AND{ X { with: Y } }被拼接为X WITH Y必要时用括号包裹嵌套子表达式例如(0BSD AND Zlib AND Artistic-1.0 AND Apache-2.0 WITH LLVM-exception)。这意味着错误提示、日志和文档输出中的表达式始终符合标准 SPDX 语法可被其他工具直接读取。用HOMEBREW_FORBIDDEN_LICENSES拦截安装如果说上面的声明语法是上游如何标注那么禁装变量就是下游如何执行。HOMEBREW_FORBIDDEN_LICENSES让使用者组织策略执行者声明哪些许可证的软件及其依赖一律不得安装。设置方式与基本语义在 shell 环境中把它设为一个以空格分隔的许可证列表即可。若要禁止MIT、Artistic-1.0以及所有:public_domain声明的公式export HOMEBREW_FORBIDDEN_LICENSESMIT Artistic-1.0 public_domain设置后Homebrew 会拒绝安装任何声明了MIT的公式更重要的是禁止会沿着依赖树传播——即使主公式本身许可证合规只要它声明了对某个MIT公式的依赖同样会被拒绝源码路径见 Library/Homebrew/formula_installer.rb#L1823-L1833错误信息中会明确报告The installation ofXhas a dependency onYwhere all its licenses were forbidden。复杂表达式下的判定语义any_of看全部、all_of看任一禁装判断不是简单的字符串包含而是对整套表达式做布尔推理其核心算法在SPDX.licenses_forbid_installation?Library/Homebrew/utils/spdx.rb#L266-L287对any_of:列表只有当每一个候选许可证都被禁时才禁止安装源码取.all?——因为只要还有一条合规出路使用方就可选它安装依然合法对all_of:列表只要任意一个被禁即禁止安装源码取.any?——因为全部条款都必须同时满足缺一不可对with:例外结构直接判断基础许可证是否被禁。沿用上例禁MIT、Artistic-1.0、public_domain来验证被拒绝安装的声明license any_of: [MIT, Artistic-1.0] # 两条出路全部被禁 → 拒绝license all_of: [MIT, 0BSD] # 存在被禁的 MIT → 拒绝被允许安装的声明license any_of: [MIT, 0BSD] # 仍有 0BSD 可选 → 放行以上判定行为在 Library/Homebrew/test/utils/spdx_spec.rb 的.licenses_forbid_installation?测试组中有大量对应断言例如any_of在单个禁项下返回false、在多项全禁时返回trueall_of含任一禁项即返回true可作为行为契约参考。版本语义与 GNU-only/-or-later的黑名单写法黑名单同样支持版本策略。HOMEBREW_FORBIDDEN_LICENSES中带的条目会禁掉该许可证及其所有未来更高版本。例如要禁止Artistic-1.0、Artistic-2.0及今后任何 Artistic 版本export HOMEBREW_FORBIDDEN_LICENSESArtistic-1.0对 GNU 系许可证则用-only/-or-later表达版本范围。下面的配置会禁止GPL-2.0、LGPL-2.1与LGPL-3.0但放行GPL-3.0export HOMEBREW_FORBIDDEN_LICENSESGPL-2.0-only LGPL-2.1-or-later这里的关键在于or-later 会覆盖其后的所有版本LGPL-2.1-or-later被禁等价于 2.1 及其后全部 LGPL 都被禁。实现位于SPDX.license_version_info与SPDX.forbidden_licenses_include?Library/Homebrew/utils/spdx.rb#L252-L309解析器用正则把GPL-2.0-or-later拆成[GPL, 2.0, true]名字、版本、是否允许更高版本三元组随后执行字符串版本比较——当黑名单条目允许更高版本且其版本号 ≤ 公式声明版本号时判定命中否则仅在版本号完全相等时命中。注意该实现依据版本号字符串比较判断前会先做名称对齐GPL对GPL-3.0。非法的黑名单条目会怎样如果黑名单里混入了 SPDX 中不存在的标识符比如拼写错误Homebrew 并不会直接崩溃而是用opoo橙色警告提示哪些条目无效、不会被生效并指引你通过brew info formula查看公式的真实许可证或对照官方 SPDX License List 修正见 Library/Homebrew/formula_installer.rb#L1806-L1814。触发时机与可选关联变量许可证校验发生在 Formula 安装过程中对应方法为FormulaInstaller#forbidden_license_checkLibrary/Homebrew/formula_installer.rb#L1786-L1844。它先解析环境变量、把public_domain等字面量规整为符号再按先依赖、后本体的顺序执行判定命中时抛出CannotInstallFormulaError终止安装。如果只想单独安装公式而不做依赖级联检查可使用安装时与依赖相关的选项如--ignore-dependencies判定逻辑对仅依赖模式也有独立分支。HOMEBREW_FORBIDDEN_LICENSES的官方定义与说明记录在 Library/Homebrew/env_config.rb#L376-L379。与之配套的还有两个归属类变量HOMEBREW_FORBIDDEN_OWNER设置禁项的责任人默认you与HOMEBREW_FORBIDDEN_OWNER_CONTACT联系方式它们会被拼进拒绝安装的错误信息里方便在组织内多人共用同一台构建机时让报错者知道该找谁、怎么找见 Library/Homebrew/formula_installer.rb#L1818-L1821。安装集成侧的整套行为含错误消息断言由 Library/Homebrew/test/formula_installer_spec.rb#L1281 的#forbidden_license_check用例覆盖。实战排查速查查看某公式实际声明的许可证运行brew info formula输出中会列出其许可证标识与依赖的许可证信息这是核对黑名单误判时最直接的命令。验证复杂表达式是否会被拦截参照上文any_of全禁才禁、all_of任一即禁的判定规则逐层展开若表达式被嵌套规则递归应用于每一层。合规提交上游 Formula确保许可证满足 DFSG 兼容要求使用规范的 SPDX 标识符GNU 系许可证务必写-only/-or-later而非裸写版本号。临时放开某项限制在启动brew install的同一 shell 中unset HOMEBREW_FORBIDDEN_LICENSES或修正列表注意该变量按进程继承需在真正执行 brew 的会话中生效。小结许可证声明与合规拦截在 Homebrew 中是一体两面license方法Library/Homebrew/formula.rb#L4104-L4110负责以标准 SPDX 语法标注公式的授权方式支撑homebrew/core的 DFSG 合规审查而HOMEBREW_FORBIDDEN_LICENSES则把同一份声明在安装期变成可执行的安全边界——精确到复杂表达式的any_of/all_of语义、与-or-later的版本覆盖范围并沿依赖树向下传播。理解 Library/Homebrew/utils/spdx.rb 中那套递归判定算法你就能准确预判任何一条黑名单配置对任意 Formula 的实际影响把许可证合规从人工审查真正落到自动化防线之上。【免费下载链接】brew The Package Manager for Everywhere项目地址: https://gitcode.com/GitHub_Trending/br/brew创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考