基于Spring Boot Webflux的NexusIQ Copyleft许可证合规问题咨询

理解GPL-2.0-with-classpath-exception许可证 #

GPL-2.0-with-classpath-exception是GPL-2.0的变种，核心区别在于类路径链接例外：

• 普通GPL-2.0的强Copyleft要求，任何与该代码链接（包括动态链接）的分发软件必须采用兼容许可证并开源；
• 而带有classpath例外的版本，允许你在项目的类路径中直接使用该库，无需将自己的项目代码开源或采用GPL兼容许可证。这个例外专门为Java库设计，解决了Java生态中依赖分发的合规痛点。

Spring Boot使用这些依赖的合规性 #

Spring Boot官方引入jakarta.annotation-api:1.3.5和snakeyaml:2.0完全合规，你的项目基于Spring Boot使用这些依赖也符合许可证要求：

• 这两个依赖都是以类路径依赖的方式被项目使用，完全触发classpath例外规则；
• Spring Boot的分发流程已经遵循了该许可证的要求，你无需为使用这些间接依赖而开源自己的业务代码。

处理NexusIQ的Copyleft警报 #

针对NexusIQ触发的等级8警报，可按以下步骤解决：

• 验证依赖使用方式：确认项目仅通过spring-boot-starter间接依赖这两个库，未修改它们的源码，也未以静态链接（如将库字节码合并到自己的jar并修改）的方式使用。只要是常规的类路径依赖，就符合许可证例外。
• 调整NexusIQ策略配置：将GPL-2.0-with-classpath-exception从Copyleft高风险威胁组中移除，或者针对jakarta.annotation-api:1.3.5和snakeyaml:2.0添加策略豁免，避免误报。
• 留存合规证据：执行mvn dependency:tree -Dincludes=jakarta.annotation-api,snakeyaml导出精准的依赖树，记录这两个依赖来自官方spring-boot-starter，作为合规审查的证据。
• 可选：替换依赖（仅用于极端合规要求）：
  • snakeyaml：可替换为jackson-dataformat-yaml，但需要调整项目中YAML解析相关的配置代码；
  • jakarta.annotation-api：作为Java EE注解规范，替换成本极高，建议优先通过合规解释解决，而非强行替换。

内容的提问来源于stack exchange，提问作者cknelle