Apache Tentacles 介绍与选型指南

目标：认识 Apache Creadur Tentacles 这一发布合规审计工具——批量下载 Apache 远程仓库中的发行件、递归解包并自动生成 LICENSE/NOTICE 审计报告；本文完成官方版本考证、同名 Python 包辨析、核心架构与工作流程实测，并给出与手动 Rat 审计等替代方案的选型对比。已在 Ubuntu 22.04.5 LTS + OpenJDK 17 环境实测通过。

一、环境信息

本文全部命令与回显均在以下环境中实测采集，读者可按此环境复现：

操作系统：Ubuntu 22.04.5 LTS（x86_64，/root 目录下演示）
Java 运行时：OpenJDK 17.0.20.1（openjdk-17-jre-headless）
审计对象工具：Apache Tentacles 0.1（官方发行 jar）
联动审计工具：Apache Rat 0.18（官方发行 jar，用于对比与联动说明）
辨析用解释器：Python 3.10.12（用于验证 PyPI 同名包，见 2.3 节）
官方网站：https://creadur.apache.org/tentacles/
官方源码仓库：https://gitbox.apache.org/repos/asf/creadur-tentacles.git（GitHub 同步仓库：https://github.com/apache/creadur-tentacles）
官方发行目录：https://downloads.apache.org/creadur/apache-tentacles-0.1/

验证基础环境的命令与实测回显：

cat /etc/os-release | head -3

实测输出：

PRETTY_NAME="Ubuntu 22.04.5 LTS"
NAME="Ubuntu"
VERSION_ID="22.04"

java -version

实测输出：

openjdk version "17.0.20.1" 2026-08-18
OpenJDK Runtime Environment (build 17.0.20.1+1-1-22.04-Ubuntu)
OpenJDK 64-Bit Server VM (build 17.0.20.1+1-1-22.04-Ubuntu, mixed mode, sharing)

💡 技术拓展：审计一套发行件（release artifact）的许可证合规，业界有三条常见路径——「按文件逐个人工核对 LICENSE/NOTICE」「用静态许可证扫描器批量识别许可证族」「用发布合规专用工具按仓库批量下载并对照法定文件」。Tentacles 属于第三条路径的 Apache 官方实现，与手动逐文件核对相比，它把「取回文件 + 解包 + 汇总法定文件」自动化了；与通用扫描器相比，它只聚焦 LICENSE/NOTICE 两类法定文件的存在性与内容对照。本文选型对比见「六、同类选型对比」。

二、软件概述

2.1 项目定位

Apache Tentacles 是 Apache Creadur 项目的子工具（同属 Creadur 的还有 Apache Rat、Apache Whisker），定位是发布合规的批量取样与初筛工具：给定一个 Apache Nexus 远程仓库地址（如 staging 仓库或 releases 仓库目录），它会：

递归爬取该地址下所有匹配 jar|zip|war|ear|rar|tar.gz 后缀的发行件；
全部下载到本地 repo/ 目录，并把每个归档递归解包到 content/ 目录；
汇总每个归档（含嵌套归档）内声明的 LICENSE 与 NOTICE 文件，生成一组 HTML 审计报告，标注「已声明（Declared）」与「未声明（Undeclared）」的许可文本。

一句话概括：Tentacles 负责「把一个仓库的发行件全部拉下来摊开，摆好法定文件」，最终合规判定仍由人工复核完成——这是它与全自动合规工具的本质区别，也是选型时要明确的定位。

官方对它的描述（节选自 https://creadur.apache.org/tentacles/ ）：

Apache Tentacles will download all the archives from a nexus/staging repo, unpack them and create a little report of what is there.

2.2 项目沿革与版本现状（官方考证）

Tentacles 的官方源码仓库（creadur-tentacles.git）历史可实测考证。克隆官方仓库并查看首个提交与提交总量：

git clone https://github.com/apache/creadur-tentacles.git /root/tentacles/repo-git
cd /root/tentacles/repo-git && git log --oneline --reverse | head -3

实测输出（节选）：

5b520c0 the start of a tool to help screen binaries
2cae323 Not quite working, but attempting to collect a list of URLs of all the assets deployed
b6239cc collects a full list of binaries in sorted order

git log --oneline | wc -l && git log -1 --format='%h %ad %s' --date=short

实测输出：

816
7d58080 2026-10-14 Merge pull request #277 from apache/dependabot/maven/org.apache.httpcomponents.client5-httpclient5-5.6.5

首个提交 5b520c0 的作者为 David Blevins，日期 2011-09-27，提交轨迹显示其最初是 OpenEJB 沙箱中的 sandbox/legal 工具，随后被移入 Rat、最终归属 Creadur（提交记录原文含 moving "legal" sandbox tool to rat as "tentacles"）。

版本现状（截至 2026-10 实测）：

项目	实测结论
官方最新发行版	0.1（Maven Central 显示 Last Release 2022-10-11，发行目录文件日期 2023-01-23）
发行形态	Java jar：`apache-tentacles-0.1-jar-with-dependencies.jar`（9.3MB，自带全部依赖）
源码编译基线	0.1 源码包 `pom.xml` 中 `javaVersion=1.8`；master 分支 README 要求「at least JDK 17」构建 0.2-SNAPSHOT
开发分支版本	0.2-SNAPSHOT（master 分支 `pom.xml` 实测）
提交活跃度	816 个提交；2022-2026 年每年约 100-190 个提交（多为依赖升级维护），最近一次提交 2026-10-14
标签	仓库唯一正式标签 `apache-tentacles-0.1`

分年度提交量统计（git log --oneline --since=<年份>-01-01 --until=<次年>-01-01 | wc -l 实测）：2020 年 22、2021 年 32、2022 年 108、2023 年 102、2024 年 191、2025 年 120、2026 年（至 10 月）140。活跃度结论：项目仍在维护（依赖持续升级、站点文档持续修正），但功能层面长期停留在 0.1，0.2 尚未发布，属于低频维护的成熟小工具，不是活跃迭代的产品。

2.3 「Python 工具」说法辨析（重要考证）

社区资料中常有「Tentacles 是 Python 命令行工具」的说法。本文以两条实测证据予以澄清：Apache Tentacles 自 2011 年诞生起就是纯 Java 工具，官方仓库历史上从未存在 Python 代码；PyPI 上的 tentacles 包是另一个同名无关项目。

证据一：官方仓库全量历史中检索 Python 文件，结果为空。

cd /root/tentacles/repo-git && git log --all --oneline --name-status -- '*.py' | wc -l

实测输出：

证据二：0.1 官方源码发行包 apache-tentacles-0.1-source-release.zip 解包后全部为 Java 源码与资源文件（find . -type f -name '*.py' 实测 0 命中），代码入口为 src/main/java/org/apache/creadur/tentacles/Main.java。

证据三：在 Ubuntu 22.04（Python 3.10.12、pip 22.0.2）上执行 pip3 install tentacles 会安装一个名为 tentacles 0.1.1 的包，但 pip3 show tentacles 显示它是 Guillaume Bour 开发的 GPLv3 协议 Python ORM 库（对象关系映射），与 Apache Tentacles 毫无关系，且不提供任何命令行入口：

pip3 install tentacles 2>&1 | tail -2 && pip3 show tentacles | head -6

实测输出：

Installing collected packages: tentacles
Successfully installed tentacles-0.1.1
Name: tentacles
Version: 0.1.1
Summary: Object-Relational Mapping (ORM)
Home-page: http://devedge.bour.cc/wiki/Tentacles
Author: Guillaume Bour
Author-email: guillaume@bour.cc

tentacles --help

实测输出：

bash: line 1: tentacles: command not found

辨析完成后应卸载该无关包，避免与正式工具混淆：

pip3 uninstall -y tentacles

实测输出：

Successfully uninstalled tentacles-0.1.1

💡 技术拓展：为什么会有「Python 版 Tentacles」的记忆？Apache 生态里以「按仓库批量取样审计」为目标的小工具不止一个实现载体，早期 ASF PMC 在发布投票（vote 线程）中流传过多种一次性脚本；而 Tentacles 作为正式项目立项时选择了 Java（见 2.2 节首个提交）。选型时只需认准两个事实：官方仓库 gitbox/github 的 creadur-tentacles、发行目录 downloads.apache.org/creadur/apache-tentacles-0.1/，其余同名物均与 Apache 无关。

2.4 与 Apache Rat 的关系

Tentacles 与 Rat 同属 Creadur 但分工不同：

Apache Rat：面向「已在本地的源码树/归档」，逐文件识别许可证头，输出审计报告，可用 java -jar 单独运行；
Apache Tentacles：面向「远程仓库」，先把仓库里的发行件批量取回并解包摆好，再汇总每个发行件内声明的 LICENSE/NOTICE。

两者可串联成完整流水线：Tentacles 负责「取样与摊开」，Rat 负责「逐文件许可头审计」，本文 2.1 节定位的三条路径中，这条组合是 Apache 官方工具链内的标准做法。联动实操见《Apache Tentacles 在 Ubuntu 22.04 集成使用指南》。

三、核心架构与工作流程

3.1 架构组成

Tentacles 0.1 的源码树（解包 apache-tentacles-0.1-source-release.zip 实测）结构清晰，核心组件如下：

apache-tentacles-0.1/
├── pom.xml                                   # Maven 构建定义（javaVersion=1.8）
├── README.md
├── src/main/java/org/apache/creadur/tentacles/
│   ├── Main.java            # 入口：main(String[] args)，解析 URI 与输出目录
│   ├── Configuration.java   # 配置：第 1 参数 URI、第 2 参数本地输出目录、-Dfilter 过滤器
│   ├── NexusClient.java     # HTTP 仓库的爬取与下载
│   ├── FileSystem.java / IOSystem.java / Platform.java
│   ├── Archive.java / License.java / Notice.java / Licenses.java
│   ├── Reports.java / Templates.java / TemplateBuilder.java   # 报告生成
│   └── filter/              # 文件过滤器（IsArchiveInPathFilter 等）
├── src/main/resources/legal/                  # Velocity 报告模板 + style.css
└── src/main/resources/licenses/               # 内置许可全文（asl-2.0/cddl-1.0/cpl-1.0）

各组件协作关系：Main 依据 Configuration 判定输入类型（http/https 前缀走 NexusClient 远程爬取下载，file: 前缀走本地文件复制），随后 Main.unpackContents 把 repo/ 下每个归档递归解包到 content/，最后 Reports 配合 Templates（Velocity 模板）产出 HTML 审计报告。

3.2 工作流程实测

以下用官方 README 的第二种示例目标（Apache releases 仓库中 tentacles 自身的目录，体量小、适合演示）完整实测四步流程：

mkdir -p /root/tentacles-demo && cd /root/tentacles-demo
java -ea -jar /root/tentacles/apache-tentacles-0.1-jar-with-dependencies.jar \
  https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/

实测输出（全程日志，EXIT=0）：

0 [main] INFO org.apache.creadur.tentacles.Main  - Launching Apache Tentacles ...
36 [main] INFO org.apache.creadur.tentacles.Main  - Remote repository: https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/
36 [main] INFO org.apache.creadur.tentacles.Main  - Local root directory: tentacles
129 [main] INFO org.apache.creadur.tentacles.NexusClient  - Crawl https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/
1372 [main] INFO org.apache.creadur.tentacles.NexusClient  - Crawl https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/apache-tentacles/
1661 [main] INFO org.apache.creadur.tentacles.NexusClient  - Crawl https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/apache-tentacles/0.1/
1980 [main] INFO org.apache.creadur.tentacles.NexusClient  - Download https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/apache-tentacles/0.1/apache-tentacles-0.1-jar-with-dependencies.jar
4518 [main] INFO org.apache.creadur.tentacles.NexusClient  - Download https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/apache-tentacles/0.1/apache-tentacles-0.1-javadoc.jar
4799 [main] INFO org.apache.creadur.tentacles.NexusClient  - Download https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/apache-tentacles/0.1/apache-tentacles-0.1-source-release.zip
5080 [main] INFO org.apache.creadur.tentacles.NexusClient  - Download https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/apache-tentacles/0.1/apache-tentacles-0.1-sources.jar
5360 [main] INFO org.apache.creadur.tentacles.NexusClient  - Download https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/apache-tentacles/0.1/apache-tentacles-0.1.jar
5642 [main] INFO org.apache.creadur.tentacles.Main  - Unpack tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-sources.jar
5646 [main] INFO org.apache.creadur.tentacles.Main  - Unpack tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-jar-with-dependencies.jar
6441 [main] ERROR org.apache.creadur.tentacles.Main  - Not a zip tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-jar-with-dependencies.jar
6442 [main] INFO org.apache.creadur.tentacles.Main  - Unpack tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1.jar
6445 [main] INFO org.apache.creadur.tentacles.Main  - Unpack tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-source-release.zip
6449 [main] INFO org.apache.creadur.tentacles.Main  - Unpack tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-javadoc.jar

流程解读：日志依次出现 Crawl（三层目录递归爬取）、Download（5 个发行件）、Unpack（逐个解包）。其中一条 ERROR Not a zip 出现在解包 jar-with-dependencies.jar 过程中——该 jar 内部个别嵌套条目不是标准 zip 结构，递归解包时触发此错误，但不影响整体流程：其余解包继续、报告照常生成、进程退出码为 0。验证退出码（无管道直采）：

java -ea -jar /root/tentacles/apache-tentacles-0.1-jar-with-dependencies.jar \
  https://repository.apache.org/content/repositories/releases/org/apache/creadur/tentacles/ /root/x5 \
  > /tmp/e5.log 2>&1; echo "exit=$?"

实测输出：

exit=0

💡 技术拓展：Apache 的发布仓库体系分两类——Nexus staging 仓库（repository.apache.org/content/repositories/<项目>-<编号>/，发布投票期间的候选内容）与 releases 仓库（投票通过后的正式内容）。Tentacles 的典型工作对象是前者：PMC 投票前用它把 staging 仓库整仓拉下来核对法定文件；对已发布的 releases 目录同样适用（本文演示即如此）。它不解析 Maven 元数据，只按 URL 目录树递归爬取，因此对任意「能按目录浏览的 HTTP 仓库」都有效。

3.3 输出物目录结构

上一步运行结束后，工作目录下生成以仓库末段路径命名的输出根目录（本例为 tentacles/，可用第二参数自定义，见《Apache Tentacles 常用 CLI 命令与工具详解》4.4 节）。实测目录结构：

cd /root/tentacles-demo && find . -maxdepth 2 | sort

实测输出（节选）：

.
./tentacles
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1-jar-with-dependencies.jar.licenses.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1-jar-with-dependencies.jar.notices.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1-javadoc.jar.licenses.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1-javadoc.jar.notices.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1-source-release.zip.licenses.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1-source-release.zip.notices.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1-sources.jar.licenses.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1-sources.jar.notices.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1.jar.licenses.html
./tentacles/apache-tentacles.0.1.apache-tentacles-0.1.jar.notices.html
./tentacles/archives.html
./tentacles/content
./tentacles/licenses.html
./tentacles/notices.html
./tentacles/repo
./tentacles/style.css

三类输出物的职责：

输出物	内容	用途
`repo/`	原样保存的发行件（未修改）	留档与后续人工核对
`content/`	每个归档的递归解包内容（`<归档名>.contents/`）	浏览嵌套 jar 与法定文件
`archives.html` 等 HTML	汇总报告 + 每归档 `.licenses.html`/`.notices.html`	合规初筛与人工复核

验证下载与解包是否完整：

find tentacles/repo -type f | sort && find tentacles/content -maxdepth 4 -type d | head -6

实测输出：

tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-jar-with-dependencies.jar
tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-javadoc.jar
tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-source-release.zip
tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1-sources.jar
tentacles/repo/apache-tentacles/0.1/apache-tentacles-0.1.jar
tentacles/content
tentacles/content/apache-tentacles
tentacles/content/apache-tentacles/0.1
tentacles/content/apache-tentacles/0.1/apache-tentacles-0.1-jar-with-dependencies.jar.contents
tentacles/content/apache-tentacles/0.1/apache-tentacles-0.1-javadoc.jar.contents

四、功能特性与实测展示

4.1 递归下载与递归解包

Tentacles 按 URL 目录树递归爬取（不解析 Maven 元数据），只下载匹配 .*\.(jar|zip|war|ear|rar|tar.gz) 的文件；解包同样是递归的——zip 内嵌套的 jar 会被继续解包到 <外层>.contents/lib/bar.jar.contents/ 一类的子目录（官方文档说明与 3.2 节实测的 .contents 目录均印证）。两点边界行为（来自官方说明与实测）：

tar.gz 会被下载但不解包（官方明确「downloaded though there is currently no support for unpacking them」）；
解包中遇到个别非标准 zip 结构的嵌套条目会报 Not a zip 错误并跳过该条目，整体流程不中断（3.2 节实测）。

4.2 LICENSE/NOTICE 审计报告

主报告 archives.html 汇总全部顶层发行件及其法定文件清单。用文本化方式抽查其内容：

sed -e 's/<[^>]*>//g' tentacles/archives.html | grep -v '^\s*$' | sed -n '20,30p'

实测输出（节选）：

archives - licenses - notices - contents
Archives
            apache-tentacles/0.1/apache-tentacles-0.1.jar  (licenses, notices, contents)
             Declared
                                    META-INF/NOTICE
                                    META-INF/LICENSE
            apache-tentacles/0.1/apache-tentacles-0.1-javadoc.jar  (licenses, notices, contents)
             Declared
                                    META-INF/NOTICE
                                    META-INF/LICENSE

每个发行件还有专属的 <归档名>.licenses.html 与 .notices.html 页面，展示该发行件自身声明的许可全文（Declared 段），并与其嵌套子归档中发现的许可文本做自动比对，无法在声明许可中找到的内容列入 Undeclared 段提示复核。抽查依赖最重的 jar-with-dependencies.jar 的许可报告：

sed -e 's/<[^>]*>//g' \
  tentacles/apache-tentacles.0.1.apache-tentacles-0.1-jar-with-dependencies.jar.licenses.html \
  | grep -v '^\s*$' | sed -n '20,26p'

实测输出（节选）：

apache-tentacles/0.1/apache-tentacles-0.1-jar-with-dependencies.jar
contents
Declared Licenses
                    LICENSE.txt
                                         Apache License
                           Version 2.0, January 2004
                        http://www.apache.org/licenses/
   TERMS AND CONDITIONS FOR USE, REPRODUCTION, AND DISTRIBUTION

验证 content/ 中该 jar 的解包结果确实含有其声明的法定文件：

ls tentacles/content/apache-tentacles/0.1/apache-tentacles-0.1-jar-with-dependencies.jar.contents/META-INF/

实测输出：

DEPENDENCIES
LICENSE
LICENSE.txt
MANIFEST.MF
NOTICE
NOTICE.txt
RELEASE_NOTES.txt
m2e
maven
services

💡 技术拓展：Apache 发布合规要求每个发行件携带 LICENSE（许可，含传递依赖的许可清单）与 NOTICE（署名与第三方组件声明）两类法定文件。Tentacles 报告里 Declared 指「发行件自己携带的许可文本」，Undeclared 指「嵌套依赖中出现了、但外层声明许可全文里找不到对应文字的许可片段」——后者正是发布前需要人工介入核对的信号。官方文档也坦言该文本匹配「not complete or perfect」，报告是初筛而非结论。

4.3 两种输入：远程 HTTP 仓库与本地 file: 目录

Tentacles 的唯一必选参数是一个 URI，支持两种协议：

http:// / https://：按目录树远程爬取下载（3.2 节实测路径）；
file:：把本地任意目录当作仓库，按归档后缀筛选复制并解包，适合离线审计已经手工准备好的文件集。本地模式受 -Dfilter 系统属性控制路径筛选（默认值 org/apache/openejb，实际使用必须覆盖，否则静默空跑），实测细节见《Apache Tentacles 在 Ubuntu 22.04 集成使用指南》第六章。

五、适用场景与限制

5.1 适用场景

Apache 项目发布投票（vote）前的合规初筛：把 staging 仓库整仓拉下来，逐发行件核对 LICENSE/NOTICE 是否齐全、内容是否与嵌套依赖一致；
存量仓库批量盘点：对 releases 仓库某组件的全部历史发行件做一次性取样归档；
第三方 Apache 系组件的引入前评估：快速取得某组件全部发行件与法定文件，交给 Rat 做逐文件深查或人工审阅。

5.2 已知限制（实测归纳）

限制	实测表现
无签名/校验和验证	仅下载归档，官方文档明确「could also download and check signatures though it does not do that now」
tar.gz 只下载不解包	官方 README 明确，无解包支持
下载匹配后缀写死	`jar
CLI 无任何选项	没有 `--help`/`--version`，无参时仅输出一行错误提示（实测见《Apache Tentacles 常用 CLI 命令与工具详解》4.1 节）
不支持的协议静默空跑	输入 `s3://example/repo` 等不识别的 URI 时，无报错、生成空报告骨架、退出码 0（实测）
本地模式默认过滤器为空跑	`file:` 模式默认 `-Dfilter=org/apache/openejb`，不覆盖则不复制任何文件且退出码 0（实测）
报告需人工判定	Undeclared 匹配算法不完整，合规结论必须人工复核（官方文档声明）
0.2 长期未发布	新特性（如自动标记缺失法定文件的归档）停留在 Future work 清单

六、同类选型对比

6.1 对比表

围绕「批量发布合规审计」这一目标，可选工具与做法对比如下（Tentacles 与 Rat 两列为本文实测结论，其余为公开资料定性对比）：

方案	形态	输入	自动化程度	优势	局限
Apache Tentacles 0.1	Java CLI（jar）	远程仓库 URL / 本地 file: 目录	批量下载+解包+法定文件汇总报告全自动化；判定靠人工	一步到位取样整仓；递归解包嵌套依赖；报告可直接浏览器复核	无签名校验、无选项化 CLI、静默空跑需提防、0.2 长期未发布
手动 `java -jar apache-rat`	Java CLI（jar）	本地目录/归档	逐文件许可头识别自动化；取样需人工 wget	Apache 官方维护活跃（0.18，2026-03 发行）；选项丰富、退出码可编程	不负责下载取样；对整仓库场景需自行准备文件集
Tentacles + Rat 组合	两个 Java CLI 串联	远程仓库 URL	取样+解包+逐文件审计均可自动化；判定靠人工	官方工具链内最完整的批量流水线	需要分别安装两个 jar；两套报告人工汇合
Apache Whisker	Java CLI/库	构建产物描述	生成与核对分发物 LICENSE/NOTICE 文档	面向「产出合规文档」而非「审计取样」	与 Tentacles 目标互补而非替代
通用许可证扫描器（如 ScanCode Toolkit 等开源方案）	Python CLI	本地代码树/发行件	全自动识别数千种许可证	许可证识别覆盖面远大于法定文件对照	不针对 Apache 发布流程；部署较重；对「下载整仓库」无能为力

6.2 选型建议

目标是「Apache 项目发布合规初筛」：首选 Tentacles（取样摊开）+ Rat（逐文件深查）组合，均为 Apache 官方工具、轻量（两个 jar 即可）、零服务端依赖；
目标是「单个已解包源码树的许可头检查」：直接用 Rat 即可，Tentacles 属于多余环节；
目标是「跨许可证体系的通用合规扫描」：选通用扫描器，Tentacles 的 LICENSE/NOTICE 对照范围无法覆盖；
接受度检查：若团队要求工具持续活跃迭代，Tentacles 的低频维护现状（2.2 节）应纳入风险考量——但它处理的对象（Apache 发布流程与法定文件格式）本身变化极慢，0.1 至今够用。

七、参考链接

官方站点：https://creadur.apache.org/tentacles/
Apache Creadur 项目主页：https://creadur.apache.org/
官方源码仓库：https://gitbox.apache.org/repos/asf/creadur-tentacles.git
GitHub 同步仓库：https://github.com/apache/creadur-tentacles
官方发行目录：https://downloads.apache.org/creadur/apache-tentacles-0.1/
Maven Central：https://repo1.maven.org/maven2/org/apache/creadur/tentacles/apache-tentacles/0.1/
Apache Rat 官方站点：https://creadur.apache.org/rat/
实操部署与联动：《Apache Tentacles 在 Ubuntu 22.04 集成使用指南》
命令全集与逐项实测：《Apache Tentacles 常用 CLI 命令与工具详解》