Кратко

  • Выражение SPDX представляет сведения о лицензии по заданной грамматике, но не доказывает соответствие, разрешение, выпуск или развёртывание.
  • Декларация автора пакета, информация, найденная в файле, и вывод создателя SPDX-документа — разные записи.
  • Отдельное хранение источника, области, объяснения расхождения и решения не позволяет короткой метке заимствовать чужие полномочия.

Строка не отвечает на все вопросы

MIT или сочетание идентификаторов через AND, OR и WITH можно одинаково прочитать в комментарии к файлу, перечне компонентов и отчёте о поставке. Это уменьшает неоднозначность при обмене. Но выражение не выбирает политику организации, не подтверждает полноту материала и не назначает того, кто решает вопрос о следующем действии.

Спецификация SPDX определяет, как строятся выражения из идентификаторов, ссылок, исключений и операторов. Она отвечает на вопрос о форме представления. Она не устанавливает, что конкретный пакет соответствует какому-либо требованию или что его можно распространять либо развёртывать.

Сам SPDX говорит о сборе и передаче фактов и не делает юридических толкований лицензий или их соответствия. Это ограничение делает запись полезнее, а не слабее: один формат может использоваться организациями с разными договорами, рисками и эксплуатационной ответственностью. Общая грамматика не создаёт общего мандата.

Не смешивать происхождение записей

Declared License пакета фиксирует лицензии, заявленные авторами пакета. SPDX 2.3 указывает, что сведения из стороннего репозитория не должны помещаться в это поле. Поэтому оно сообщает не всё, что позднее нашёл аналитик, а именно то, что заявили авторы.

Выражение, NONE, NOASSERTION или отсутствие поля имеют информационный смысл в формате. Ни одно из этих состояний само по себе не означает отсутствия лицензии, обязательств или разрешения действовать. Превращая пробел в информации в положительный статус, организация скрывает пробел, который должен увидеть следующий проверяющий.

Concluded License — другая запись: она сохраняет вывод создателя SPDX-документа о лицензии, применимой к пакету, или альтернативное значение, если это не удаётся определить. Такой вывод может быть полезен, но его автор не становится автором пакета, а вывод не становится правилом для всех получателей. Если вывод отличается от декларации, спецификация просит письменное объяснение в комментариях к лицензии. На уровне файла отдельно сохраняются сведения, действительно найденные в файле, и вывод о лицензии файла.

Расхождение не следует стирать. Оно может показать разницу источника, области или рассуждения. При изменении файла наблюдение можно повторить; исправленный вывод можно добавить с указанием нового наблюдения. Старую запись не нужно делать невидимой.

Решение принадлежит другой поверхности

После сохранения записей организация может решить, нужна ли дальнейшая проверка, применение собственной политики распространения, исключение или развёртывание. Источники SPDX в этой статье не принимают такие решения для конкретного файла, пакета, продукта или сделки. Они не называют юрисдикцию, владельца политики или коммерческий результат.

Поэтому выражение не следует ни превращать в готовое одобрение, ни объявлять бесполезным. Оно способно точно сохранить декларацию, наблюдение или документированный вывод, показать различие записей и сделать начало проверки воспроизводимым. Оно не должно выдаваться за саму проверку или решение.

Квитанция выражения и решения

Краткая сопроводительная квитанция не меняет SPDX и не является юридической консультацией. Она должна закрепить файл, пакет, артефакт или версию и, если возможно, стабильную ссылку. Затем она называет тип записи — декларация автора, наблюдение файла или вывод создателя документа — и сохраняет буквальное выражение с источником.

Если вывод расходится с декларацией или наблюдением, причина остаётся в записи. Решение указывается только если оно действительно принято; тогда нужны владелец, версия политики, область и время. Если решения нет, честное состояние — «не оценено», а не аккуратный идентификатор, прочитанный как неявное разрешение.

Sources

  1. SPDX — Overview
  2. SPDX Specification 2.3 — Package Information
  3. SPDX Specification 2.2.2 — File Information
  4. SPDX Specification 3.0.1 — License Expressions