Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Порядок работы с неизвестной лицензией

Назначение

Порядок описывает, что делать, когда license scan вернул NOASSERTION, пустое поле или конфликтующие лицензии и автоматически определить лицензию компонента не удалось. Цель — не пропускать такие компоненты «по умолчанию разрешено», а превращать их в управляемый worklist с явным решением.

Когда применяется

Шаги

  1. Зафиксировать факт. Внести компонент@версия (PURL) в worklist неопознанных лицензий; статус unknown.
  2. Проверить артефакты сборки. Найти файлы LICENSE/COPYING/NOTICE, заголовки исходников, поле license в манифесте пакета.
  3. Проверить источник. Сверить с публичной страницей проекта/репозитория и метаданными реестра пакетов (для нужной версии — лицензия могла меняться).
  4. Нормализовать. Свести найденное к SPDX-выражению; для двойных лицензий выбрать применимый вариант по политике.
  5. Если лицензия установлена — обновить запись, присвоить класс, закрыть пункт worklist; при необходимости оформить исключение.
  6. Если лицензия не установлена — запросить юридическое заключение о допустимости использования при неопределённой лицензии.
  7. Принять решение. Допустить с условиями, заблокировать или запланировать замену; результат — в Реестр исключений (если допуск с риском).
  8. Не релизить с unknown. Компонент со статусом unknown без решения блокирует релиз.

«Нет лицензии» ≠ «свободно» Отсутствие файла лицензии по умолчанию означает «все права защищены», а не общественное достояние. Использование без явного разрешения — юридический риск. Поэтому unknown блокирует, а не пропускает.

Версия имеет значение Лицензия проекта могла меняться между релизами (типичный кейс — переход на BUSL/SSPL). Сверяйте лицензию именно той версии, что в SBOM, а не последнего релиза проекта.

Состояния worklist

Статус Значение Дальше
unknown лицензия не определена расследование (шаги 2–4)
resolved сведена к SPDX, класс присвоен в политику
legal-review требуется юр.оценка Шаблон юридического заключения по лицензии
accepted-risk допущена с условиями Реестр исключений
blocked использовать нельзя замена компонента

Связь с курсом