ort

Le OSS Review Toolkit (ORT) est un toolkit FOSS d'orchestration et d'automatisation de politiques pour gérer les dépendances logicielles open source de manière stratégique et sûre. Il peut générer des SBOM CycloneDX ou SPDX et une documentation d'attribution personnalisée, automatiser les vérifications de licences et de vulnérabilités de sécurité via une politique en tant que code basée sur les risques, créer des archives de code source pour la conformité des licences et corriger les métadonnées de paquets ou les résultats de licences. ORT se compose de plusieurs outils pouvant être combinés en un pipeline personnalisable : Analyzer détermine les dépendances et les métadonnées entre les gestionnaires de paquets ; Downloader récupère le code source ; Scanner détecte les résultats de licences et de droits d'auteur ; Advisor récupère les avis de sécurité ; Evaluator applique des règles de politique personnalisées et des classifications de licences pour signaler les violations ; Reporter présente les résultats sous forme de rapports visuels, d'avis open source ou de BOM ; et Notifier envoie des notifications par e-mail ou via JIRA. ORT peut être utilisé comme bibliothèque, via une interface en ligne de commande ou via des intégrations CI. Il fonctionne sur Linux, Windows et macOS, nécessitant Java 25 ou version ultérieure. Les options d'installation incluent des binaires précompilés, une image Docker contenant tous les outils requis ou une compilation à partir des sources avec Gradle. Le projet est un projet de la Linux Foundation et fait partie d'ACT (Automate Compliance Today).