Cách GitHub quản lý tuân thủ giấy phép cho các thư viện mã nguồn mở ở quy mô lớn

Mỗi ngày, các kỹ sư tại GitHub liên tục tích hợp các thư viện phụ thuộc (dependencies) mới vào nền tảng, các ứng dụng nội bộ và các dự án mã nguồn mở. GitHub không chỉ là "ngôi nhà" của mã nguồn mở, mà chính nền tảng này cũng được vận hành dựa trên mã nguồn mở. Việc sử dụng mã nguồn mở một cách có trách nhiệm đòi hỏi sự tôn trọng nghiêm ngặt đối với các giấy phép (licenses) quản lý các dự án đó.

Trong bài viết này, chúng ta sẽ tìm hiểu cách Văn phòng Chương trình Mã nguồn mở (OSPO) của GitHub tận dụng tính năng GitHub License Compliance mới để quản lý hàng nghìn phụ thuộc một cách hiệu quả.

Quản lý quy trình tuân thủ giấy phép mã nguồn mở

Hầu hết các phần mềm đều đi kèm với một thỏa thuận cấp phép. Giấy phép cung cấp cho bạn quyền sử dụng dự án, với điều kiện bạn phải tuân thủ các nghĩa vụ của nó. Các nghĩa vụ này có thể đơn giản như việc ghi công tác giả gốc trong tài liệu, hoặc phức tạp hơn như yêu cầu bạn phải công khai toàn bộ mã nguồn khi phân phối phần mềm.

Tại sao cần quản lý giấy phép?

Doanh nghiệp của bạn có thể có các chính sách riêng về giấy phép chấp nhận được dựa trên mô hình kinh doanh và chiến lược phân phối. Ví dụ:

• Ứng dụng thương mại (Closed source): Bạn có thể muốn chặn các phụ thuộc yêu cầu bạn phải mở mã nguồn (copyleft) để bảo vệ tài sản trí tuệ.
• Dự án mã nguồn mở: Bạn có thể muốn tránh các phụ thuộc sử dụng giấy phép thương mại hoặc giấy phép không tương thích.

Việc không tuân thủ các nghĩa vụ này có thể dẫn đến rủi ro pháp lý nghiêm trọng, kiện tụng tốn kém và tổn hại danh tiếng. Thay vì thực hiện đánh giá thủ công hoặc sử dụng phần mềm bên thứ ba rời rạc, GitHub đã tích hợp tính năng này trực tiếp vào GitHub Advanced Security (GHAS).

Thiết lập quy trình tuân thủ thành công

GitHub đã chuyển đổi từ các công cụ nội bộ sang tính năng mới này. Dưới đây là lộ trình triển khai mà họ đã thực hiện:

1. Khởi tạo danh sách: Sử dụng các giấy phép phổ biến như MIT, Apache 2.0 và BSD-3-Clause làm danh sách "cho phép" (allowlist) ban đầu.
2. Chế độ "Evaluate" (Đánh giá): GitHub triển khai tính năng này ở chế độ đánh giá trên toàn tổ chức. Trong chế độ này, hệ thống tạo ra các chú thích (annotations) trong Pull Request (PR) mà không chặn việc merge. Điều này giúp các nhà phát triển làm quen với quy trình mới mà không làm gián đoạn năng suất.
3. Chuyển đổi sang "Active": Sau khoảng một tháng chạy song song, khi các cảnh báo chỉ còn xuất hiện trên các gói có giấy phép lạ, thiếu thông tin hoặc bị cấm, họ đã chuyển sang chế độ thực thi (Active).

Cơ chế hoạt động của GitHub License Compliance

Tính năng này hoạt động dựa trên rulesets (bộ quy tắc):

• Cấu hình: Các kho lưu trữ (repositories) được nhắm mục tiêu thông qua một thuộc tính tùy chỉnh (custom property). Giá trị của thuộc tính này xác định xem kiểm tra giấy phép đang ở chế độ "Active" hay "Evaluate".
• Quét phụ thuộc: Khi một PR sửa đổi các phụ thuộc của dự án, hệ thống sẽ kích hoạt quét và tra cứu giấy phép của từng phụ thuộc mới.
• Xử lý kết quả:
  • Nếu giấy phép được cho phép hoặc có ngoại lệ (exception), kiểm tra sẽ vượt qua.
  • Nếu thất bại, công cụ sẽ bình luận trực tiếp vào PR, liệt kê các gói có vấn đề.

Nhà phát triển sau đó có thể cập nhật mã nguồn để loại bỏ phụ thuộc hoặc gửi yêu cầu ngoại lệ (exception request) cho đội ngũ quản lý chính sách.

Vai trò của Đội ngũ Chính sách Giấy phép

Đội ngũ này bao gồm các thành viên OSPO và kỹ sư chuyên về phân tích chuỗi cung ứng phần mềm. Họ làm việc trên toàn cầu để đảm bảo các yêu cầu được xử lý trong vài giờ.

• Quyết định: Khi nhận yêu cầu, họ quyết định cho phép giấy phép hoặc gói cụ thể ở phạm vi kho lưu trữ hay toàn bộ doanh nghiệp (enterprise).
• Ngoại lệ gói: Công cụ hỗ trợ khớp ký tự đại diện (wildcard). Ví dụ: cho phép tất cả các gói trong không gian tên @github-ui/* giúp giảm bớt việc phê duyệt thủ công từng gói một.

Hỗ trợ nhà phát triển

Để đảm bảo quy trình không gây khó khăn cho kỹ sư, GitHub đã thiết lập:

• Tài liệu và đào tạo: Giúp nhà phát triển hiểu tầm quan trọng của việc tuân thủ.
• Quy trình "Break glass": Trong trường hợp khẩn cấp, nhà phát triển có thể tạm thời tắt thực thi bằng cách thay đổi giá trị của thuộc tính tùy chỉnh (custom property) để merge các bản sửa lỗi quan trọng.

Kết luận

Việc tuân thủ giấy phép là một phần quan trọng trong quản lý chuỗi cung ứng phần mềm. Bằng cách giúp nhà phát triển đưa ra các lựa chọn phụ thuộc sáng suốt, GitHub đã ngăn chặn được các vấn đề pháp lý tiềm ẩn và chi phí sửa đổi mã nguồn không đáng có. Tính năng này hiện đã có sẵn cho các khách hàng GitHub Enterprise Cloud có giấy phép GHAS Code Security.