GitHub PR에서 오픈소스 라이선스 자동 검사 — 개발자 필수 지식

GitHub이 오픈소스 의존성의 라이선스를 PR(Pull Request, 풀 리퀘스트) 단계에서 자동으로 검사하는 License Compliance(라이선스 컴플라이언스) 기능을 공개 프리뷰로 출시했습니다. GitHub Advanced Security 고객이라면 새 패키지를 추가하는 순간, 해당 라이선스가 조직 정책에 부합하는지 PR 화면에서 바로 확인할 수 있습니다.

오픈소스 라이선스, 왜 개발자가 반드시 알아야 하는가

오픈소스를 사용한다는 것은 단순히 코드를 가져다 쓰는 행위가 아닙니다. 모든 오픈소스 프로젝트에는 라이선스(License, 이용 허락 조건) 가 붙어 있고, 이를 위반하면 소송과 평판 손상으로 이어질 수 있습니다.

대표적인 라이선스 유형은 다음과 같습니다.

• MIT / Apache 2.0 / BSD-3-Clause: 출처만 표기하면 상업적 용도 포함 자유롭게 사용할 수 있는 허용형(Permissive) 라이선스
• GPL(GNU General Public License, GNU 일반 공중 사용 허가서): 이 라이선스가 적용된 코드를 포함하면, 자신의 코드도 동일 조건으로 공개해야 하는 카피레프트(Copyleft) 라이선스
• 상업용 라이선스: 특정 규모나 용도에 제한이 있는 계약 기반 라이선스

상업 서비스에 GPL 코드를 무심코 포함했다가 전체 소스코드를 공개해야 하는 상황이 생길 수 있습니다. 최근 T-Mobile이 수만 대의 VM(Virtual Machine, 가상 머신) 을 VMware에서 다른 플랫폼으로 이전하는 과정에서 1,000개 이상의 애플리케이션 마이그레이션에 막대한 비용과 시간을 쏟고 있는 사례는, 소프트웨어 선택 하나가 가져오는 장기적 파급효과를 단적으로 보여줍니다. 라이선스 문제도 마찬가지입니다. 사후에 의존성을 교체하는 엔지니어링 비용은 예방보다 훨씬 큽니다.

GitHub License Compliance 기능 상세

PR 단계에서 즉시 탐지

GitHub Advanced Security가 활성화된 저장소에서 PR이 열리면, 새로 추가된 의존성에 대한 라이선스 스캔이 자동으로 실행됩니다. 직접 의존성뿐 아니라 전이적 의존성(Transitive Dependency, 의존성의 의존성) 까지 검사하여, 정책에 맞지 않는 라이선스가 발견되면 PR에 경고 주석이 달립니다. 개발자는 해당 패키지를 제거하거나, 예외 승인을 요청할 수 있습니다.

Evaluate 모드로 점진적 도입 가능

GitHub 자체 OSPO(Open Source Program Office, 오픈소스 프로그램 사무소) 는 이 기능을 초기에 Evaluate 모드로 운영했습니다. 이 모드는 PR을 차단하지 않고 주석으로 경고만 표시합니다. 약 1개월간 기존 내부 도구와 병행 운영하며 개발자들이 새 워크플로에 적응하게 한 뒤, 본격 적용 단계(Active 모드)로 전환했습니다. 급격한 변화 없이 팀 문화를 바꿀 수 있는 실용적인 접근입니다.

와일드카드 예외와 긴급 우회 프로세스

모든 패키지가 표준 라이선스 메타데이터를 갖추는 것은 아닙니다. 내부 패키지나 특수 계약 패키지에 대해서는 패키지 예외(Package Exception) 를 설정할 수 있습니다. 예를 들어 @github-ui/* 와일드카드로 내부 React 패키지를 일괄 허용하는 식입니다. 또 긴급 핫픽스가 라이선스 경고에 막히는 상황을 위한 '브레이크 글래스(Break Glass)' 우회 프로세스도 마련되어 있으며, GitHub은 지금까지 이를 단 한 번 사용했다고 밝혔습니다.

교육 현장과 개발자 커뮤니티에 주는 시사점

학생 프로젝트에서도 라이선스는 실제 문제

학교 과제나 팀 프로젝트에서 npm, pip, Maven 패키지를 무분별하게 추가하는 경우가 많습니다. 졸업 후 해당 코드가 상업 서비스에 포함될 때 GPL 의존성이 발견된다면, 처음부터 다시 구현해야 하는 상황이 생길 수 있습니다. GitHub의 새 기능은 이러한 리스크를 코드 병합 이전에 차단해 줍니다.

오픈소스 기여자로서의 선택

오픈소스를 사용하는 것만큼, 자신의 코드를 어떤 라이선스로 공개할지 결정하는 것도 중요합니다. 상업적 활용을 허용하려면 MIT나 Apache 2.0을, 파생 저작물도 오픈소스로 유지하길 원한다면 GPL 계열을 선택하세요. 라이선스는 커뮤니티와 맺는 약속입니다.

기업 환경에서의 확산 전망

GitHub Enterprise Cloud 고객은 Code Security 라이선스가 활성화된 저장소에서 이 기능을 무료로 사용할 수 있습니다. 공개 프리뷰인 만큼 더 많은 조직이 도입하면서 피드백이 쌓이면, 향후 일반 요금제로 확대될 가능성도 있습니다.

학생 활용법

GitHub Education(학생 무료 계정)으로 팀 프로젝트를 진행할 때, 의존성 추가 시 MIT 또는 Apache 2.0 라이선스를 우선 채택하는 습관을 들이세요. 취업 포트폴리오나 창업 아이템으로 발전시킬 때 불필요한 법적 리스크를 사전에 예방할 수 있습니다.