咨询Spring BOM管理依赖的许可证要求（公司审计场景）

Spring Boot团队在筛选纳入BOM（物料清单）的管理依赖时，有明确的许可证合规标准：

• 所有BOM中的依赖必须采用兼容Apache License 2.0的开源许可证，其中就包含你提到的Apache、MIT这类宽松许可证，同时也覆盖BSD系列、EPL 2.0等其他合规许可证。
• 这一要求的核心原因是Spring Boot自身采用Apache License 2.0，必须确保依赖的许可证不会与自身许可证产生冲突，同时也为用户规避潜在的合规风险。

针对你需要减少审计工作量的需求，可参考以下做法：

• 直接基于官方Spring Boot BOM的依赖清单做批量检查，无需逐个微服务执行mvn project-info-reports:dependencies。你可以从对应版本的Spring Boot BOM的POM文件中提取所有管理依赖的许可证信息，或者查阅官方发布文档中的依赖说明。
• 只要使用的是Spring Boot官方正式发布的BOM版本（未自行修改过依赖版本），其中的所有管理依赖都已经过团队的合规校验，你只需确认这些许可证符合公司的审计规则即可，无需重复排查每个微服务的依赖。
• 仅针对项目中自定义添加的非BOM管理依赖单独做许可证检查，这类依赖不在官方合规覆盖范围内，需要单独验证。

内容的提问来源于stack exchange，提问作者jirka.pinkas