Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 08
Теоретический вопрос
Объясните, почему лицензионная чистота — это отдельный от уязвимостей контур риска, и как SPDX License List (устойчивые идентификаторы вроде MIT, Apache-2.0, GPL-3.0-only) делает лицензию машиночитаемым фактом. В чём разница между «обнаруженной лицензией» (detected, результат сканера по тексту), «заявленной лицензией» (declared) и «решением о допустимости» (юридический вердикт)? Почему copyleft (GPL/AGPL) опасен не сам по себе, а в сочетании со способом использования компонента?
Практический вопрос
Мини-кейс Сканер ScanCode нашёл в компоненте смесь: основной код под
Apache-2.0, отдельный файл подGPL-3.0-onlyи фрагмент без заголовка лицензии. Объясните, что из этого факт, а что — повод для юридического заключения. Как оформить неизвестную лицензию, кто принимает решение о допуске copyleft-фрагмента и почему инженер не имеет права закрыть этот вопрос сам.
Что должен показать ответ
- Источник факта: detected-лицензии (ScanCode/ORT) с SPDX-идентификаторами; declared-лицензия из метаданных пакета.
- Инструмент: ScanCode для распознавания, ORT/FOSSology для license policy и юридического workflow.
- Владелец решения: допустимость лицензии (особенно copyleft и unknown) — юрист / сервис аудита/вердиктов, не инженер.
- Нормативная опора: OpenChain ISO IEC 5230, SPDX ISO IEC 5962.
- Evidence: юридическое заключение и реестр лицензий; порядок работы с неизвестной лицензией.