Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Паспорт open source библиотеки

Назначение

Долговечная учётная карточка одной open source библиотеки в контролируемом репозитории (ППК) Организации: канонический purl, апстрим, разрешённые версии, лицензия, владелец и состояние сопровождения. Отвечает на вопрос «что это за компонент и на каких условиях мы его используем», а не «что мы решили в конкретной поставке».

Когда применяется

Заводится при первом включении библиотеки в ППК (после приёмки и распознавания) и поддерживается на всём сроке использования. Обновляется при смене версии, лицензии, статуса сопровождения апстрима.

Паспорт ≠ отчёт Паспорт — это идентичность компонента (стабильна между поставками). Точечная оценка и вердикт по конкретной поставке — в Шаблон отчета по компоненту. Паспорт дедуплицирован по purl; отчётов по нему может быть много.

Идентификация

Поле Значение
Каноническое имя
Канонический purl pkg:.../...@...
cpe (если есть)
Экосистема npm · pypi · cpp · deb · docker · go · ...
Апстрим (репозиторий) публичный URL
Включена в ППК с дата
Владелец компонента роль/команда (без ФИО)

Версии и линковка

Поле Значение
Разрешённые версии список / диапазон
Запрещённые версии с причиной (CVE, EOL)
Тип линковки динамическая / статическая (см. П23. Статическая линковка как слепая зона)
Способ поставки пакетный менеджер / vendored / собранный из исходников

Лицензия

Поле Значение
Объявленная лицензия SPDX id / expression
Заключённая лицензия по П27. Юридическое заключение и реестр лицензий
Класс по политике разрешён / условный / запрещён (см. П26. Лицензионная классификация)
Юридический вердикт ссылка на заключение

Здоровье и риск

Поле Значение
Состояние сопровождения активный / редкие релизы / заброшен (EOL)
OpenSSF Scorecard / Scorecard-сигналы см. OpenSSF Scorecard
Известные уязвимости ссылка на статус в портфеле / VEX
Дата последнего пересмотра

Связь с курсом