oss-review – 开源许可合规审查 Skill

Skill 详细介绍

anthropics/claude-for-legal#oss-review 是 Anthropic 官方 claude-for-legal 法律场景 Skill 集合中的一个具体 Skill，主要用于开源软件合规审查（Open Source Software Review）。它帮助法律、合规、采购和工程团队在处理开源依赖、开源许可证、开源代码引入或对外发布代码时，快速识别其中的开源合规问题，并给出结构化的审查意见。

需要明确的是：它本身不是一个独立运行的软件，也不是一个自动扫描器。它属于提示词 / 工作流 / 方法论型的 Agent Skill，安装到支持的 AI Agent 后，为 Agent 增加一套围绕开源合规审查的分析框架、检查清单和输出结构。真正的分析能力由底层大模型提供，Skill 负责把任务限定在法律与合规的专业视角下。

核心功能

• 梳理项目中涉及的第三方开源组件与依赖
• 识别常见开源许可证类型（如 MIT、Apache-2.0、BSD、GPL、LGPL、AGPL、MPL 等）及其基本义务
• 判断不同许可证之间的兼容性问题
• 分析 Copyleft 类许可证对闭源分发、SaaS 部署、静态 / 动态链接的可能影响
• 检查许可证声明、版权头、NOTICE 文件、LICENSE 文件等合规材料是否齐备
• 输出结构化的合规审查意见，便于律师或合规人员二次审核

典型任务

• 审查一个代码仓库中引入的开源依赖是否存在许可证冲突
• 评估某段代码能否被合并进公司自有产品
• 检查对外发布的开源项目是否满足其声明许可证的要求
• 整理一份开源组件清单（SBOM 思路）并附合规说明
• 对采购或并购尽调中的开源资产做初步审查

工作方式

该 Skill 以对话方式工作。用户把代码片段、依赖清单、LICENSE 文件、package.json / pom.xml / requirements.txt 等内容提供给 Agent，Agent 在 Skill 定义的框架下进行分析，给出结论、风险点和建议。它不会自行联网抓取许可证原文，也不会自行克隆仓库——这些需要用户或 Agent 通过其他工具完成。

适合哪些用户

• 法务、合规、知识产权相关岗位
• 开源办公室（OSPO）人员
• 需要处理开源依赖的工程负责人、架构师
• 做技术尽调、并购尽调的投资与咨询人员

不适合哪些需求

• 需要自动化、大规模、持续集成的开源成分扫描（这类需求更适合 SCA 类专门工具）
• 需要法律意见书效力的正式法律结论（本 Skill 输出仅供参考，不能替代执业律师意见）
• 需要精确到函数级的代码溯源与相似度比对

与普通 Agent 自身能力的区别

通用 Agent 也能讨论开源许可证，但输出往往不稳定、结构松散、容易遗漏审查维度。该 Skill 的价值在于把审查流程和输出结构固定下来，使结果更接近法务 / 合规岗位实际需要的格式，减少来回澄清。

Skill 安全评估

总体判断：anthropics/claude-for-legal#oss-review 源自 Anthropic 官方组织的 claude-for-legal 仓库，来源可信度较高。该 Skill 本身属于文本 / 提示词类，主要风险点不在 Skill 代码，而在于使用过程中用户主动提交给 Agent 的内容，以及 Agent 在执行任务时被授予的权限。

来源可信度

Skill 由 Anthropic 官方组织发布，属于一手官方来源。相比第三方转载、Fork 或二次发布版本，官方来源在文件完整性、更新维护和可追溯性上更可靠。建议从官方仓库获取，避免使用来源不明的镜像或修改版。

文件与数据敏感性

• 审查对象通常是代码仓库、依赖清单、LICENSE 文件，这些内容可能包含内部项目结构、未公开的产品信息、客户名称等
• 把整份代码提交给 Agent 前，应先确认这些内容是否可以出境或交给第三方模型处理
• 如果使用云端模型，代码与依赖清单会经过模型服务商，需符合公司数据政策

Shell 与文件权限

该 Skill 本身只做分析和输出，并不需要执行 Shell 或写入文件。如果底层 Agent 被授予了自动执行 Shell、自动修改仓库的权限，那么风险来自 Agent 的通用能力而非该 Skill。建议在处理法律 / 合规审查这类任务时，关闭 Agent 的自动执行 Shell 权限，只让它做只读分析和文本输出，由用户手动执行任何安装、克隆或扫描命令。

网络访问

该 Skill 不需要自行联网，但如果 Agent 为验证许可证原文而联网抓取，可能访问外部站点。是否允许联网，取决于用户对模型访问范围的控制策略。

输出可靠性风险

这是使用该 Skill 时最需要关注的一点。大模型对开源许可证的理解可能出现偏差，例如混淆 GPL-2.0 与 GPL-3.0 的条款、误判许可证兼容性、忽略例外条款（如 Classpath Exception）。该 Skill 的输出应被视为初步筛查和结构整理，不构成正式法律意见。涉及对外发布、并购、诉讼等正式场景时，必须由执业律师或专业合规人员复核。

降低风险的建议

• 优先从官方仓库获取 Skill
• 只提交审查所必需的代码片段或依赖清单，避免提交核心业务逻辑
• 关闭 Agent 自动执行 Shell 与自动改写文件的权限
• 把 Skill 输出当作起点，而不是终点
• 对高影响决策，走正式法律审核流程

Skill 使用要求

一、Agent / 客户端

该 Skill 来自 Anthropic 官方 claude-for-legal 系列，与 Claude Code 的 Skill 机制高度适配，可以优先在 Claude Code 中使用。Anthropic 官方未公布完整的第三方 Agent 兼容列表。从 Agent Skill 的通用工作方式看，在支持 Skills、自定义 Skill 或类似指令加载机制的环境中，通常也可以尝试在 Codex、Cursor、Trae、OpenClaw、WorkBuddy 等主流 AI Agent 中使用。不同 Agent 的 Skill 加载方式和兼容程度可能不同，具体以对应 Agent 当前版本为准。

二、运行环境 / 依赖

具体版本要求以该 Skill 当前官方说明为准。

三、权限

• 文件读取：可选。需要读取用户提供的 LICENSE、依赖清单等文件时使用
• 文件写入：可选，通常不需要。除非要让 Agent 直接生成审查报告文件
• Shell：可选，通常不需要。SKILL 本身不依赖执行命令
• 网络：可选。仅在需要联网核对许可证原文时有意义
• GitHub：可选。如果审查对象是远端仓库，可由 Agent 通过已有工具拉取

四、账号 / API Key

该 Skill 本身不需要单独的账号或 API Key，它依赖用户所用 AI Agent 已配置的模型访问方式。Skill 所审查的项目本身，可能需要 GitHub 访问凭证、私有仓库 Token、SCA 工具账号等，这些属于审查对象侧的需求，与该 Skill 是否可用无关。

最小使用条件

• 一个支持 Skill 的 AI Agent（推荐 Claude Code）
• 已完成该 Skill 的安装
• 可提交给 Agent 的开源代码片段、依赖清单或 LICENSE 文本
• 对输出结果有法务复核机制

Skill 安装、使用与卸载教程

一、安装

最简单的做法是直接复制本页面提供的 Skill 安装指令，粘贴到对应的 Agent 或终端执行。安装指令会根据 Agent 的 Skill 加载机制把该 Skill 放置到正确位置。

如果不知道自己的 Agent 如何安装，可以直接问它：

如何安装 anthropics/claude-for-legal#oss-review？

如何在 Claude Code 中安装 anthropics/claude-for-legal#oss-review？

如何在 Cursor 中安装 anthropics/claude-for-legal#oss-review？

让当前 Agent 根据自己的 Skill 管理机制给出准确步骤，比套用固定命令更稳妥。官方未提供额外特殊安装条件时，按本页面的安装指令即可。

二、安装后如何使用

安装后，只要在对话中明确提及该 Skill 或直接描述开源合规审查类任务，Agent 通常就会加载它。触发方式取决于具体 Agent，多数情况下用自然语言说明任务即可。

适合交给它的任务描述：

• 要求审查某个仓库或依赖清单的开源许可证
• 询问某两个许可证是否兼容
• 要求检查某项目对外发布前是否满足其 LICENSE 要求
• 要求输出结构化的合规审查意见

使用示例：

使用 oss-review，帮我审查这个项目的 package.json，列出所有第三方依赖的许可证，并标出可能存在的兼容性风险。

使用 oss-review，检查这段代码是否可以被合并进我们闭源分发的产品，给出理由和风险提示。

使用 oss-review，为这个仓库生成一份开源合规审查意见，覆盖许可证声明、版权头和 NOTICE 文件。

描述任务时，把背景交代清楚会更准确：产品是对外分发还是仅内部使用、是否做了修改、是否以 SaaS 形式提供、公司对 Copyleft 的政策是什么。这些信息直接影响审查结论。

三、卸载

不同 Agent 的 Skill 安装位置和管理方式可能不同，该 Skill 未提供统一的独立卸载命令。常见做法：

• 使用对应 Agent 或 Skill 管理器提供的删除 / 移除功能，删除该 Skill
• 直接询问当前 Agent：如何卸载 anthropics/claude-for-legal#oss-review？

由 Agent 根据其自身的 Skill 存储位置给出移除方式，通常最稳妥。

常见问题

1. 这个 Skill 会自己扫描我的代码仓库吗？
不会。它不包含独立的扫描引擎，只做分析和输出。需要先由用户或 Agent 用其他方式获取代码、依赖清单或许可证文本，再由该 Skill 在对话中分析。

2. 输出结果能直接当作法律意见使用吗？
不能。它的定位是合规初筛和结构整理，不是正式法律意见。涉及对外发布、并购、诉讼等场景，必须由执业律师或专业合规人员复核。

3. 可以同时安装到多个 Agent 吗？
可以。它本质是文本形式的 Skill，安装位置由各 Agent 自己管理，互不冲突。但不同 Agent 的加载和触发方式可能不同，需要在每个 Agent 中分别确认可用。

4. 中国大陆使用是否有网络要求？
该 Skill 本身不强制联网。安装时需要能访问其官方来源；使用时是否需要联网，取决于所用 Agent 是否联网，以及是否要核对许可证原文。如果所用 Agent 走的是境外模型或服务，需符合公司数据与合规政策。

5. 为什么安装后 Agent 没有明显使用这个 Skill？
常见原因是触发不明确。Skill 通常在识别到相关任务时才加载，可以在提问中直接点名，例如“使用 oss-review……”，或在 Agent 的 Skill 列表中确认它已经启用。不同 Agent 的触发机制不同，具体以该 Agent 当前版本为准。

6. 它和专门的 SCA 扫描工具有什么区别？
SCA 工具通过依赖树和许可证数据库做自动化、大规模、可重复的扫描，结果是确定性的。该 Skill 是靠模型理解做定性分析，适合单次、上下文复杂、需要解释和写作的场景，不适合替代 CI 中的自动化合规扫描。

7. 更新后需要重新安装吗？
取决于使用的 Agent 如何管理 Skill。有的 Agent 会自动同步更新，有的需要重新安装或手动拉取最新版本。可以直接问当前 Agent：如何更新 anthropics/claude-for-legal#oss-review？