SPDX（ライセンス識別子）

SPDXとは、ソフトウェア部品表（SBOM）の情報を、出所やライセンス、セキュリティなどの観点から共通の形式でやり取りするためのオープンな標準で、ISO/IEC 5962:2021として国際標準にもなっているものです。

SPDXはLinux Foundationがホストするオープンソースプロジェクトとして運営されています。SPDXのライセンスリストでは、よく使われるライセンスごとに「MIT」「Apache-2.0」「GPL-3.0-only」のような短い識別子、正式名称、ライセンス本文、固定URLを定めており、ソースファイルなどの中でライセンスを一意に示すために使われます。

新規事業でソフトウェア製品を提供する場合、利用しているOSSとそのライセンスを正確に把握することが、ライセンス義務の履行や脆弱性への対応の前提になります。ソースコードにSPDX識別子を記載したり、SPDX形式のSBOMを作成したりしておくと、社内の管理や顧客・取引先への説明がしやすくなります。取引先からSBOMの提出を求められる場面も増えています。

参考資料

• SPDX Overview（SPDX）
• SPDX License List（SPDX）