node-forge GPL-2.0 dual-license causes BlackDuck policy violations via @sap-cloud-sdk/connectivity → jks-js
I maintainer di solito rispondono entro 1 giorno
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 30/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- node.js, typescript
Direzione di ricerca
Start by tracing how @sap-cloud-sdk/connectivity brings in jks-js and where the JKS certificate path is loaded. Compare the proposed options, including whether JKS support can be made opt-in without breaking existing consumers. Done means downstream users no longer encounter the described BlackDuck policy violation while supported JKS behavior is preserved.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Problem
@sap-cloud-sdk/connectivity pulls in [email protected], which depends on
[email protected]. The node-forge package is dual-licensed as
(BSD-3-Clause OR GPL-2.0).
Enterprise BlackDuck compliance policies routinely block any package whose
SPDX expression includes GPL-2.0, even when a permissive alternative
(BSD-3-Clause) is available in the same expression. This causes our SAP BTP
CAP project to fail the BlackDuck detectExecuteScan pipeline step with
FAILURE_POLICY_VIOLATION.
Dependency chain
@sap-cloud-sdk/[email protected]
└── [email protected]
└── [email protected] ← (BSD-3-Clause OR GPL-2.0)
Impact
[email protected]is already the latest release — there is no newer
version to upgrade to.- No npm
overridesworkaround is possible because the entire chain
(jks-js→node-forge) is controlled by@sap-cloud-sdk/connectivity. - Every project using
@sap-cloud-sdk/connectivity(and by extension
@sap-cloud-sdk/http-client, which depends on it) is affected.
Suggested resolution
One of the following would resolve the violation for all downstream consumers:
- Replace
jks-jswith a BSD-only JKS parser (e.g. rewrite the small
JKS-parsing surface using Node.js built-incryptoor a package with a
clean BSD/MIT license). - Make the JKS certificate path opt-in — lazy-require
jks-jsonly
when a JKS keystore is actually configured, so projects that authenticate
purely via JWT/mTLS without JKS stores do not pull innode-forge. - Work with the
node-forgemaintainers to clarify or relicense to
BSD-3-Clause only, removing the GPL-2.0 dual option.
Environment
| Item | Version |
|---|---|
@sap-cloud-sdk/connectivity |
4.9.1 |
@sap-cloud-sdk/http-client |
4.9.1 |
jks-js |
1.1.7 |
node-forge |
1.4.0 |
| Node.js runtime | BTP CAP (Node.js 22) |
- Lingua principale
- TypeScript
- Stelle
- 221
- Fork
- 79
- Merge medio
- 13h 27m
- PR unite (30g)
- 22
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di SAP/cloud-sdk-js
-
OData v2: Edm.Time with fractional seconds is parsed with seconds set to 0Forse già presa @sebxt l’ha presa 8 giorni fa. Apertabug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
SAP/cloud-sdk-js#7043 · 1 commento · 1 assegnatario ·
I maintainer di solito rispondono entro 1 giorno
-
OData v2: Edm.DateTime and Edm.DateTimeOffset payload serialization drops millisecondsForse già presa @sebxt l’ha presa 9 giorni fa. Apertabug
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
SAP/cloud-sdk-js#7035 · 1 commento · 1 assegnatario ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 65/100
SAP/cloud-sdk-js#7067 ·
I maintainer di solito rispondono entro 1 giorno
-
feature request tok:pd5
Difficoltà 3/5 1-2 giorni Idoneità per principianti 62/100
SAP/cloud-sdk-js#7058 ·
I maintainer di solito rispondono entro 1 giorno
-
tok:pd5
Difficoltà 3/5 1-2 giorni Idoneità per principianti 55/100
SAP/cloud-sdk-js#7047 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di SAP/cloud-sdk-js
Issue simili
-
area:docs documentation good first issue
Difficoltà 2/5 1-3 ore Idoneità per principianti 85/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
I maintainer di solito rispondono entro 12 giorni
-
area:docs good first issue
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
thainanluiz/TSSuper#30 ·
-
[analytics-core] getQueryParams does not decode `+` as space and truncates values containing `=`Apertabug
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
amplitude/Amplitude-TypeScript#2179 · 1 commento ·
I maintainer di solito rispondono entro 2 giorni
-
ci good first issue severity: low
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
TMHSDigital/GH-Arcade#111 ·