依存パッケージのライセンス、ちゃんと見てる？わたしのちょっとしたモヤモヤ話

なんとなくそう思ってたけど、パッケージのライセンスって**ちゃんと見てる人ってどれくらいいるんだろう？**って、最近ふと思ったんだよね💭

仕事でも趣味のプロジェクトでも、いろんなパッケージをぽんぽん入れちゃうけど、正直わたしはあんまりライセンスのことまで気にしてなくて…「まあパッケージマネージャーが大丈夫って言ってるし！」って感じでスルーしてたんだよね😳✨

でも、友だちに「ライセンスはちゃんと確認しないとヤバいよ」って言われて、ちょっと考え始めたんだ。

ツールで一括チェック？
SPDXとかSBOMとか、なんかよくわかんないけど聞いたことある用語もあって、これって普通に開発者が使うもんなのかな？それとも法務の人とかがやること？🧠
パッケージマネージャー任せ？
「npmとかpipとかが勝手にやってくれてるっしょ！」って信じてる人、多い気がする🥺
気にしない派？
そもそもライセンスのことは、誰かが言い出すまで気にしないって人も多そう。わたしもまさにこれだったし…😆

これ、何がスゴイのか全然ピンとこなくて、調べてみたら「ソフトウェアの部品リスト」みたいなものらしい。つまり自分のプロジェクトに何が入ってるか、ちゃんと見える化するためのツールなんだって💡

でも、これ普通の開発者が日常的に使ってるの？それとも会社の法務チームや管理者が「ちゃんとやってね」って感じで扱うもの？なんか大企業の話みたいで、わたしみたいな初心者には遠い世界に感じちゃうよね🌸

わたしみたいに「まぁ大丈夫でしょ」って思ってたけど、ちゃんとライセンスを確認するのはまじめにやったほうがいいみたい。特に仕事で使うなら、あとで困るのはイヤだしね！

でも正直、全部のパッケージのライセンスを毎回調べるのはちょっと大変だし、だからこそツールを活用するのもアリなんだろうなーって思ったよ🧰

わたしは今ちょっとずつ勉強中だけど、みんなはどんな感じでやってる？もし知ってたら教えてほしいな〜🥺💗

こんな感じで、ふつうの開発者もライセンス問題は意外と気にしたほうがいい話だよね〜って話でした✨

この記事をシェア

ライセンス、ダウンロード数、活動状況は必ずチェックしないと後で痛い目見るよ。

1. https://www.npmjs.com/package/webpack-license-plugin 2. https://github.com/codepunkt/rollup-license-plugin

ライセンス全部集めて、NGのはビルド失敗にしよう。ライセンス無しは上書きして対応。

うん、自動化してるよ。

コードも画像も全部ライセンスチェックしてるよ。やらなきゃ法的リスクがあるし、スケールが大きいほど危険度アップ。悪質なスクレイパーもいるからね。依存はライセンスだけじゃなく、メンテ状況や採用例もちゃんと見る。多すぎる依存は管理も品質も悪化するから、ライセンスが緩いものだけ使う。

誰でもNPMに出せるからパッケージマネージャーは信用しちゃダメ。スパイウェアやマイナーも普通にあるよ。

ライセンス、メジャーアップデート頻度、ドキュメントの質、TS対応、バグ修正頻度、バンドルサイズはライブラリ選びの重要ポイント。

個人プロジェクトなら主にバージョン更新とサイズだけ見るかな。

商用なら絶対チェックするよ。若い頃、趣味の副業で使ったスクリプトで4千ドル超の請求と停止命令来たことあるからね。以来、クライアントには必ずライセンス買わせてる。金要るものは無許可使用厳禁。

訴えられたくないなら、コードの大部分を書き直すか社外秘を公開しない限り、ライセンスは絶対確認すべき。

依存なし。

いや、CI/CDでセキュリティツール使ってるから特に手動チェックはしてない。問題あれば検討してメンテに連絡する感じ。

趣味なら気にしないけど、商用ならライセンスや更新日、スター数、対応速度は必ず見る。

うん、全部の依存とライセンス管理してCI/CDでwebpack-license-pluginでビルド失敗させてる。

承認済み依存のDBも持ってて、更新チェック用スクリプトもある。ライセンス問題あれば自社製か内製に差し替える。

もちろん。でも結構嘘もつくよ（笑）

Snykをパイプラインで動かしてチェックしてる。

もちろんだよ。

上司は「完璧に出来てて更新不要かつ自社で作れるなら自作する」って方針。例えばアクセシビリティーツールは既存プラグインは古いか高額サブスクばかりで、自分で作れと言われたから作った。

人気の3つのプラグインUIをパクって改良し、機能も混ぜて不要なのは捨てた。プラグイン化はしてないけど独立して使える。

ちなみに20年以上のPHP＋JQuery＋HTML＋CSSの古いプラットフォームで超厳しいルール守ってる。今はPHP最新化に向けて4万ファイルも改修中。