Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

@nvidia/cloudxr npm package declares no `license` field, so scanners report it as unlicensed

Đang mở
  • Có gì không ổn?
#884 0 bình luận 0 reaction 1 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

@yanziz-nvidia đang làm issue này rồi.

Từ ngày 4/8/2026.

Đánh giá

Issue này chưa được đánh giá.

Mô tả

Describe the bug

@nvidia/cloudxr — which deps/cloudxr/webxr_client consumes via "@nvidia/cloudxr": "file:../nvidia-cloudxr-<ver>.tgz" — ships no license field in its package.json. OSS license scanners resolve the package name against the public npm registry and report the component as having no license associated with it.

To reproduce

  1. curl -s https://registry.npmjs.org/@nvidia%2Fcloudxr | jq '[.versions[] | {version, license}]'
  2. Observe "license": null for both published versions (6.1.0, 6.2.0).
  3. Run any SBOM/license scanner over a build of deps/cloudxr/webxr_client.

Expected behavior

The package declares a machine-readable license so scanners can attribute it.

Observed behavior

The LICENSE file (NVIDIA proprietary SLA) is bundled inside the tarball, but the license field is absent — and scanners key on the field, not the file. Compounding it: npm dist-tags.latest is 6.2.0, so a scanner resolving a newer local tarball finds no matching published version, falls back to latest, and attributes the finding to 6.2.0 regardless of which version is actually vendored.

Screenshots

N/A.

Platforms

  • Isaac Teleop Version: main (webxr_client pins 6.3.0-rc2)
  • OS: N/A — build/scan time
  • Integrations: WebXR client
  • XR Device: N/A
  • Additional Devices: N/A

Additional context

The fix belongs upstream in the CloudXR.js package, not in this repo. npm does not allow overwriting a published version, so clearing this requires a patch republish carrying the license field plus a dist-tag move (and/or npm deprecate on the old ones). Publishing a 6.3.0 line would additionally stop the latest fallback.

Note that "license": "SEE LICENSE IN LICENSE" is a valid npm convention but is not an SPDX identifier, so strict scanners may still flag it; a LicenseRef--style identifier is the safer value going forward.

Filing here for tracking because this repo is the consumer — it cannot land the fix itself.

Ngôn ngữ chính
Python
Star
412
Fork
97
Merge trung bình
1 ngày 23 giờ
Pull request đã merge (30 ngày)
157

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của NVIDIA/IsaacCapture

Tất cả issue của NVIDIA/IsaacCapture

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.