解读

在国内前端商业化交付场景中，GPL 系列许可证（GPL-2.0、GPL-3.0、AGPL 等）具有“传染性”，一旦随构建产物分发，就可能强制开源整个项目源码，带来法务与商业风险。Grunt 生态虽然以 MIT、BSD 类宽松许可证为主，但 4000+ 插件中仍混杂少量 GPL 依赖；加之 npm 树状依赖层级深，**“间接依赖”**才是最大隐患。面试官问“如何阻断”，核心想考察候选人是否具备：

1. 对开源许可证差异的敏感度
2. 能在构建层面前置引入合规卡点的工程化能力
3. 熟悉 Grunt 插件机制，能低成本落地自动化方案

知识点

• 许可证识别：SPDX 表达式、package.json license 字段、LICENSE 文件内容、GitHub API 获取 license 信息
• npm 依赖树：dependencies、devDependencies、optionalDependencies、peerDependencies、 bundledDependencies；npm ls --all 输出解析
• Grunt 插件生命周期：grunt.registerTask、grunt.registerMultiTask、this.files / this.options / this.async
• 国内镜像与缓存：淘宝镜像、cnpm、pnpm、npm config 的 registry、lockfile（package-lock.json、yarn.lock、pnpm-lock.yaml）
• 合规卡点：preinstall、postinstall、husky pre-commit、CI 门禁、license-checker、fossa、Snyk、OpenChain 规范
• 许可证兼容矩阵：MIT → 可闭源；GPL-3.0 → 闭源分发即触发开源义务；LGPL → 动态链接可闭源，静态链接需开源衍生代码；AGPL → 网络服务也算分发

答案

“我会把阻断动作拆成三道闸门，全部固化到 Grunt 工作流，让‘引入即失败’成为默认行为。

第一步：依赖准入清单

1. 在项目根目录维护 allowlist.json，白名单仅保留 MIT、BSD-2-Clause、Apache-2.0 等宽松许可证；AGPL、GPL 系列一律禁止。
2. 利用 license-checker --onlyAllow 参数生成合规基线，输出结果若出现非白名单许可证，进程立即 exit 1，CI 直接失败。

第二步：Grunt 插件封装

1. 编写私有 grunt-contrib-license-gate 插件，任务内调用 license-checker，解析 npm ls --all 得到的完整依赖树，递归扫描 node_modules。
2. 插件支持 options.failOn 正则，默认配置为 /GPL|AGPL/i，命中即抛错并打印违规包名、版本、许可证、依赖路径（a→b→c），方便开发者精准排除。
3. 将任务绑定到默认构建流：grunt.registerTask('default', ['license-gate', 'clean', 'uglify', 'cssmin']); 保证每次构建前强制检查。

第三步：提交门禁与持续审计

1. 在 husky pre-commit 钩子再次运行 grunt license-gate，防止开发者绕过 CI 本地提交。
2. CI 阶段（GitHub Actions / GitLab CI / Jenkins）并行执行 grunt license-gate 与 npm audit，结果归档到合规报告，供法务审计。
3. 建立周度 Cron 任务，对比 lockfile 变更，一旦新增依赖立即触发全量扫描，实现“增量+全量”双保险。

通过以上三层闸门，GPL 依赖在 install、commit、build、发布四个节点都会被拦截，从根本上阻断传染性许可证进入商业交付包。”

拓展思考

1. 多包仓库（monorepo）场景：lerna、pnpm workspace 会提升依赖复用率，但也会让许可证污染路径更隐蔽；可在根目录统一运行一次 grunt license-gate，结合 --workspace-root 参数一次性扫描全部子包。
2. Native 模块与动态链接库：部分 GPL 依赖以 .node 预编译文件存在，license-checker 可能漏检；需补充脚本扫描 binding.gyp、CMakeLists.txt 中 git url，再调用 GitHub API 获取许可证，实现源码级确认。
3. 国内客户额外要求：金融、政企项目常要求“无 LGPL 组件”，可将 failOn 正则扩展至 /GPL|AGPL|LGPL/i，并输出 SBOM（软件物料清单）供甲方备案。
4. 性能优化：大型项目依赖 3 万+ 节点，每次全量扫描耗时 30 秒以上；可将结果缓存到 .cache/grunt-license-gate.json，以 lockfile 哈希为 key，无变更直接跳过，降低本地开发等待。
5. 与供应链安全联动：同一套依赖树既做许可证检查，也做漏洞扫描（Snyk、ossindex），把“合规+安全”合并成一条 Grunt 任务，减少开发者认知负担，体现工程化一体化思路。