共计 1553 个字符，预计需要花费 4 分钟才能阅读完成。
经 openEuler 社区技术委员会探讨决定：
openEuler 社区正式成立 Compliance SIG
Compliance SIG 将专一解决 openEuler 社区中开源软件的合规问题。openEuler 社区中的开发者更加擅长于软件开发，而合规的实质是一个法律问题，社区开发者在开发的软件的过程中不合理的应用其余开源软件，可能会存在法律危险。
为什么开源软件存在“收费”的属性，但还是会有法律危险问题？依据版权法，以任何形式应用软件均须从软件作者处获取许可证，许可证形容了授予用户的权力，以及用户必须履行的任务的。只管开源软件自身是“收费”的，但他实际上与任何其他软件并无不同，开源软件在开源之初, 作者就抉择了相应的开源许可证。应用开源软件同样受到许可证的束缚。
依据新思科技网络安全钻研核心制作的《2020 年开源平安和危险剖析报告》对许可证抵触的剖析，发现 33% 的代码库中蕴含未经许可的软件，67% 的代码库存在许可证抵触的问题，所以合规问题是每一个开源开发者必须关注的问题。
openEuler 社区作为最具生机的开源社区，开源软件仓库曾经达到了 7000+ 个，尽管 openEuler 社区也在做一些从 0 到 1 的翻新我的项目，然而绝大部分我的项目都应用了很多其余的开源软件。如此大量的应用开源软件如何保障在法律上是合规的？再加上现在开源软件更换许可证的事件时有发生，牵一发而动全身，每一个许可证的更改所带来的影响，对于一款开源软件来说都是一个简单的工程问题。这是 Compliance SIG 要去摸索并尝试解决的问题之一。
每一个 RPM 包公布都会有一个 spec 文件，这其中蕴含 RPM 包援用的上游开源软件，然而对于这些引入的上游开源软件，开发者并没有能力去及时进行保护。依据新思科技网络安全钻研核心公布的《2020 年开源平安和危险剖析报告》，目前 82% 的代码库蕴含曾经过期四年以上的组件，88% 的代码库中蕴含过来两年中没有任何开发流动的组件。
这导致的问题是，当软件破绽波及到上游软件时，上游软件曾经进行更新，会间接导致该软件破绽无奈修复，这也是 Compliance SIG 要去摸索并尝试解决的第二个问题。
在 ComplianceSIG 未成立之前，openEuler 社区中引入一款开源软件是先交由 TC 进行决策，随着引入的开源软件一直减少，TC 决策的压力日益增大，且专业性不容易失去保障，openEuler 社区须要 Compliance SIG 来专门解决这些事件，业余的人做业余的事。
本次 Compliance SIG 的成立失去了麒麟信安、润和软件和华为的反对。来自这三家公司的开发者负责 Compliance SIG 的 Maintainer，其中魏建刚是 HopeInfra 产品经营总监。该 SIG 会通过晋升整个社区合规的工程能力作为其使命，将合规打造成 openEuler 的品牌。
就像胡 Core 在《openEuler 社区 2021 年 1 月运作报告》中所说
咱们心愿 Compliance SIG 可能为国内的软件合规做出样板，同时可能积攒出一系列软件工具，为行业提供公共的能力服务
欢送大家退出 Compliance SIG。
Compliance SIG 次要想解决的问题
- 解决文件级 license 的问题。例如：PHP
- 解决新引入组件的 license 的判断问题。
- 解决上游组件 license 变更的问题。例如：mangoDB、ES
- 解决 RPM 包的 spec 文件 license 和原生社区的 license 不统一的问题。例如：greenlet 组件
Compliance SIG 的指标
- 建设 openEuler 的合规体系
- 公布 openEuler 的规定、标准
- 制订 openEuler 的合规流程
- 设计 openEuler 的合规架构（BAIA）
- 开发 openEuler 的合规工具
- 提供 openEuler 的合规服务（解决方案）
