Zusammenfassung

  • Ein SPDX-Lizenzausdruck repräsentiert Lizenzinformation nach einer festgelegten Grammatik; er entscheidet nicht über Compliance, Erlaubnis, Release oder Einsatz.
  • Autorenangabe, Datei-Beobachtung und Schlussfolgerung eines SPDX-Dokumenterstellers sind verschiedene Aufzeichnungen mit verschiedenen Fragen.
  • Ein getrenntes Protokoll für Ausdruck und Entscheidung bewahrt Quelle, Abweichung und Zuständigkeit, statt einem Etikett fremde Autorität zu leihen.

Der Ausdruck beantwortet nur seine eigene Frage

Ein Lizenzbezeichner kann in einem Quelltext, einer Stückliste und einem Lieferbericht gleich aussehen. Das ist ein Vorteil: Informationen lassen sich ohne wiederholtes Deuten von Headern austauschen. Der Vorteil wird problematisch, wenn eine Organisation aus der Form des Eintrags eine weitergehende Aussage macht: dass ein Paket geprüft sei, dass es ausgeliefert werden dürfe oder dass eine Installation beschlossen wurde.

Die SPDX-Spezifikation beschreibt, wie Kennungen, Referenzen, Ausnahmen sowie AND, OR, WITH und + zu einem gültigen Lizenz-Ausdruck zusammengesetzt werden. Diese Grammatik beantwortet die Frage, ob die Darstellung regelkonform ist. Sie bestimmt nicht, ob der Informationsumfang vollständig ist, welches Artefakt einer Entscheidung zugrunde liegt oder wer eine nachfolgende Regel anwenden darf.

SPDX beschreibt seine Aufgabe selbst als Sammeln und Kommunizieren von Tatsachen und erklärt, keine Rechtsauslegung von Lizenzen oder Lizenz-Compliance vorzunehmen. Diese Begrenzung ist kein Mangel. Sie macht den Datensatz zwischen Organisationen nutzbar, obwohl deren Verträge, Risikoentscheidungen und Betriebsverantwortung nicht identisch sind. Ein gemeinsames Format erzeugt kein gemeinsames Mandat.

Herkunft der Aufzeichnung sichtbar lassen

Die Declared License eines Pakets nennt die von den Paketautoren erklärten Lizenzen. Nach SPDX 2.3 gehört Information aus einem Dritt-Repository nicht in dieses Feld. Die Aussage hat also eine bestimmte Herkunft: Sie berichtet, was Autoren erklärt haben, nicht was ein späterer Prüfer über ein größeres Umfeld herausgefunden hat.

Ein Ausdruck, NONE, NOASSERTION oder ein fehlendes Feld tragen jeweils eine Informationsbedeutung im Format. Keiner dieser Zustände bedeutet ohne weiteren, getrennten Akt, dass keine Lizenz existiert, keine Pflicht besteht oder ein Empfänger handeln darf. Eine Informationslücke in ein positives Signal umzudeuten, verbirgt die Lücke, die eine spätere Prüfung nachvollziehen müsste.

Die Concluded License ist eine andere Aussage. Sie hält fest, was ein Ersteller eines SPDX-Dokuments als für das Paket geltend geschlossen hat, oder einen Ersatzwert, wenn dies nicht bestimmt werden kann. Die Schlussfolgerung kann hilfreich sein, aber ihr Ersteller wird dadurch nicht zum Paketautor. Verwendet sie dieselbe Ausdrucksgrammatik, wird sie auch nicht zur allgemeinen Regel für alle Empfänger.

Die Spezifikation behandelt Abweichungen nicht als etwas, das still überschrieben werden soll. Wenn Concluded und Declared License auseinanderfallen, soll eine schriftliche Erklärung in den Lizenzkommentaren stehen. Auf Dateiebene unterscheidet SPDX ebenfalls zwischen tatsächlich in der Datei gefundener Lizenzinformation und einer Schlussfolgerung. So bleibt sichtbar, ob sich Quelle, Umfang oder Begründung unterscheiden. Eine geänderte Datei kann neu beobachtet, eine Schlussfolgerung mit Verweis auf die neue Beobachtung ergänzt werden.

Eine spätere Entscheidung bleibt getrennt

Nach diesen Aufzeichnungen mag eine Organisation über weitere Prüfung, eine eigene Verteilungsregel, eine Ausnahme oder einen Einsatz entscheiden müssen. Die hier verwendeten SPDX-Quellen treffen keine dieser Entscheidungen für ein bestimmtes Paket, eine Datei oder ein Produkt. Sie benennen weder Rechtsraum noch Policy-Eigentümer, kommerzielle Bedingung oder Rechtsfolge.

Der richtige Schluss ist daher weder, den Ausdruck als Freigabe zu überhöhen, noch ihn als wertlos abzutun. Er kann eine Autorenerklärung, eine Beobachtung oder eine dokumentierte Schlussfolgerung präzise halten. Er kann Unterschiede sichtbar machen und einen Prüfstartpunkt reproduzierbar machen. Er darf nicht als Prüfung oder Beschluss ausgegeben werden, den er nicht enthält.

Ausdruck-und-Entscheidungs-Beleg

Ein schlanker Begleitbeleg verändert kein SPDX-Profil und ist keine Rechtsberatung. Er bindet zuerst die Aussage an Datei, Paket, Artefakt oder Version und, soweit vorhanden, an eine stabile Referenz. Dann nennt er die Art der Aufzeichnung — Autorenerklärung, Datei-Beobachtung oder Dokument-Schlussfolgerung — sowie den exakten Ausdruck und seine Quelle.

Weicht eine Schlussfolgerung von Erklärung oder Beobachtung ab, bleibt die Begründung erhalten. Eine Entscheidung wird nur vermerkt, wenn sie tatsächlich getroffen wurde; dann gehören Eigentümer, Policy-Version, Umfang und Zeitpunkt dazu. Ohne Entscheidung ist nicht bewertet ehrlicher als ein sauberes Etikett, das als implizite Freigabe gelesen wird.

Sources

  1. SPDX — Overview
  2. SPDX Specification 2.3 — Package Information
  3. SPDX Specification 2.2.2 — File Information
  4. SPDX Specification 3.0.1 — License Expressions