SARIF 표준 기반 feluda 통합을 통한 License Violation 자동 탐지 체계 구축

How to Surface License Violations in GitHub Advanced Security with feluda

Kumar Anirudha2026년 5월 28일4분intermediate

AI 요약

Context

기존 License Violation 탐지 프로세스는 빌드 단계에서 자동화되지 않아 법적 리스크 발견 시점이 늦어지는 한계 존재. 별도의 플러그인 설치 없이 기존 Security 대시보드 내에서 라이선스 위반 사항을 가시화할 필요성 대두.

Technical Solution

OASIS 표준인 SARIF(Static Analysis Results Interchange Format) 포맷을 채택하여 도구 간 결과 전송 호환성 확보
feluda의 --ci-format sarif 옵션을 통해 위반 사항을 표준화된 JSON 형태로 출력하는 파이프라인 설계
feluda/restrictive-license(Warning)와 feluda/incompatible-license(Error)의 두 가지 Rule ID를 정의하여 심각도별 차등 관리
GitHub Actions의 security-events: write 권한 및 github/codeql-action/upload-sarif를 활용한 Security Tab 자동 연동
if: always() 조건 설정을 통해 Scan 실패 시에도 결과 파일이 업로드되도록 하여 가시성 누락 방지
Monorepo 대응을 위해 Cargo, npm, Go, Python uv 등의 Workspace 지원 기능을 통한 통합 스캔 구조 적용

실천 포인트

- 라이선스 위반 시 CI/CD 파이프라인을 차단하려면 `--fail-on-restrictive` 또는 `--fail-on-incompatible` 플래그 적용 - 프로젝트 자체 라이선스를 `--project-license` 옵션으로 명시하여 상호 호환성 검증 활성화 - VS Code SARIF Viewer 확장 프로그램을 설치하여 IDE 수준에서 실시간 위반 사항 확인 - GitHub Actions 워크플로우 내 업로드 단계에 `if: always()`를 추가하여 분석 결과의 영속성 보장

태그

#License Compliance #Supply Chain Security #CI/CD Pipeline #GitHub Advanced Security #SARIF

원문 읽기