[论文解读] LiDetector: License Incompatibility Detection for Open Source Software

Sihan Xu, Ya Gao+4 more|arXiv (Cornell University)|Apr 22, 2022

Software Engineering Research被引用 11

一句话总结

LiDetector 是一种自动化工具，通过识别有意义的许可证条款并利用基于学习的方法和概率上下文无关语法（PCFG）推断权利与义务，检测开源软件中的许可证不相容性。其在条款识别中达到 93.28% 的精确率，在权利/义务推断中达到 91.09% 的准确率，误报率（10.06%）和漏报率（2.56%）较低，并揭示了 1,846 个项目的 72.91% 存在许可证不相容性。

ABSTRACT

Open-source software (OSS) licenses dictate the conditions which should be followed to reuse, distribute, and modify the software. Apart from widely-used licenses such as the MIT License, developers are also allowed to customize their own licenses (called custom licenses), whose descriptions are more flexible. The presence of such various licenses imposes challenges to understanding licenses and their compatibility. To avoid financial and legal risks, it is essential to ensure license compatibility when integrating third-party packages or reusing code accompanied with licenses. In this work, we propose LiDetector, an effective tool that extracts and interprets OSS licenses (including both official licenses and custom licenses), and detects license incompatibility among these licenses. Specifically, LiDetector introduces a learning-based method to automatically identify meaningful license terms from an arbitrary license and employs Probabilistic Context-Free Grammar (PCFG) to infer rights and obligations for incompatibility detection. Experiments demonstrate that LiDetector outperforms existing methods with 93.28% precision for term identification, and 91.09% accuracy for right and obligation inference, and can effectively detect incompatibility with a 10.06% FP rate and 2.56% FN rate. Furthermore, with LiDetector, our large-scale empirical study on 1,846 projects reveals that 72.91% of the projects are suffering from license incompatibility, including popular ones such as the MIT License and the Apache License. We highlighted lessons learned from the perspectives of different stakeholders and made all related data and the replication package publicly available to facilitate follow-up research.

研究动机与目标

• 为解决在包括自定义和版本化许可证在内的多种开源许可证中检测许可证不相容性的挑战。
• 克服现有工具仅支持预定义、知名许可证且需手动定义规则的局限性。
• 开发一种自动化、可扩展的解决方案，无需手动配置即可解释任意许可证（包括官方和自定义许可证）。
• 实现在现实世界软件项目中大规模检测不相容性，尤其考虑到自定义许可证的普遍性。
• 提供公开可用的工具和数据集，以支持许可证兼容性研究的可复现性和未来研究。

提出的方法

• 采用基于学习的方法，利用自然语言处理技术，从任意许可证文本中自动识别有意义的许可证条款。
• 应用概率上下文无关语法（PCFG）解析许可证文本，并从句法结构中推断权利与义务。
• 将许可证语言建模为术语序列，并使用训练好的嵌入模型检测语义上显著的子句。
• 对多个许可证中推断出的权利与义务进行分析，以检测不相容性。
• 基于规则的冲突检测引擎用于评估任意一对权利或义务是否在集成组件之间存在矛盾。
• 该框架在包含版本化和例外扩展变体的官方及自定义许可证多样化数据集上进行训练和评估。

实验结果

研究问题

• RQ1 自动化系统能否有效从官方和自定义开源许可证中识别并提取有意义的许可证条款？
• RQ2 与人工标注相比，基于语法的模型在从许可证文本中推断权利与义务方面的准确度如何？
• RQ3 该系统在包括现有兼容性框架中未预定义的许可证在内的多样化许可证集合中，检测不相容性的能力有多大？
• RQ4 在现实世界开源项目中，许可证不相容性的普遍程度如何，尤其是在使用自定义或不常见许可证的情况下？
• RQ5 与现有工具相比，该系统在精确率、召回率以及误报/漏报率方面的表现如何？

主要发现

• LiDetector 在从任意许可证文本中识别有意义的许可证条款方面，实现了 93.28% 的精确率和 75.70% 的召回率。
• 该系统在推断权利与义务方面达到 91.09% 的准确率，显著优于现有的基于规则的方法。
• 在对 200 个 GitHub 项目的大型规模评估中，LiDetector 检测出 169 个不相容项目，误报率为 10.06%，漏报率为 2.56%。
• 对 1,846 个现实世界项目的大型实证研究显示，72.91% 的项目存在许可证不相容性，包括使用 MIT 和 Apache 等流行许可证的项目。
• 研究揭示了广泛存在的不相容性风险，特别是自定义许可证，占所有分析许可证的 24.56%。
• 所有数据、代码和复现包均已公开发布，以支持许可证兼容性研究的可复现性和进一步研究。