licencias: 95% (1114/1164) — la evidencia sale del tarball pineado, offline

`licencias.sh --sembrar` escribe desde una tabla curada a mano y `licencias-desambiguar.sh` resuelve
`-only` vs `-or-later` preguntándole a la búsqueda de código de GitHub. Los dos dejan fuera lo mismo:
lo que nadie curó y lo que no vive en GitHub.

Pero `work/tarballs/` indexa cada tarball por su sha256, así que el árbol EXACTO que la receta pinea
ya está en disco: la declaración del propio autor, en el commit que construimos, sin red. De las 76
sin licencia, 55 tenían su tarball cacheado y 25 salieron con evidencia citable.

`scripts/licencias-tarball.py` la busca en tres niveles: la declaración del autor (`Cargo.toml`,
`meson.build`), un único fichero en `LICENSES/` (REUSE, que usa KDE), y el texto del COPYING más la
CONCESIÓN buscada en las cabeceras de los fuentes — excluyendo COPYING/LICENSE, porque el apéndice
de la GPL trae literalmente «or (at your option) any later version» y buscarla ahí da siempre
positivo siendo plantilla. Es la regla que ya fijó `licencias-desambiguar.sh`, aplicada al árbol
pineado en vez de a GitHub.

La primera versión resolvía 40, y CUATRO estaban mal. Las dejo escritas porque son la forma del
error, no accidentes:

  · `socat` salía BSD-2 por su `COPYING.OpenSSL`, que es la excepción, no la licencia. Un `COPYING`
    a secas gana ahora a cualquier sufijado.
  · `pigz` salía Apache-2.0 por `zopfli/COPYING`: la licencia de una pieza VENDORIZADA leída como la
    del contenedor. Sólo se mira la raíz.
  · `openssh` salía MIT porque su `LICENCE` es un compendio de cuatro y me quedaba con la primera
    que pegara. Si el texto trae varias, no hay veredicto: lo compone un humano.
  · `nano` salía GPL-3.0-**or-later** citando el «either version 2» de su `aclocal.m4` — plantilla de
    autotools, no del proyecto, y encima de otra versión. Ahora la cita tiene que venir de un fichero
    del autor Y hablar de la misma versión mayor que el COPYING.

Y dos bugs míos que producían el mismo daño en silencio: la marca de BSD-3 era «Neither the name of»,
que libpcap y libzip no usan («The names of the authors may not be used to endorse») ⇒ se declaraban
BSD-2; y el mayor de versión lo sacaba de `"GPL-3.0".rsplit("-",1)[0][-1]`, que da «L», así que la
comprobación de coherencia rechazaba TODA cita válida.

La validación final no es una regex: un identificador vale si tenemos su texto en `licenses/`. La
obligación legal es acompañar el binario del TEXTO, así que un SPDX que no podemos entregar no
adelanta nada y sí crea una afirmación que no se sostiene. Eso es lo que atrapa el «GPL2+» que meson
deja escribir en `gsd-schemas` y `libgdm`, que no es un SPDX sino taquigrafía.

Nada se sembró a ojo: cada línea de `docs/licencias-evidencia.tsv` lleva la cita que la decidió, y
las 50 que quedan salen listadas con lo que SÍ se encontró en vez de rellenarse.

Comprobado que no se invalida nada: los 26 ArtifactHash afectados son idénticos antes y después
(`license` no está en `hash_inputs`) — medido, no supuesto.

docs/licencias-evidencia.tsv

@@ -0,0 +1,29 @@
+# licencias-evidencia.tsv — lo generó scripts/licencias-tarball.py desde el
+# TARBALL PINEADO de cada receta. Tres columnas: paquete, SPDX, y la CITA que lo
+# decidió. REVISAR A MANO antes de sembrar: es evidencia, no un veredicto firmado.
+adwaita-hello	LGPL-2.1-or-later	meson.build: license: 'LGPL-2.1-or-later'
+dwarves	GPL-2.0-only	COPYING + concesión en btf_encoder.c: …/* SPDX-License-Identifier: GPL-2.0-only Copyright (C) 20…
+elfutils-libdw	GPL-3.0-or-later	COPYING + concesión en tests/run-eu-search-die.sh: …ion; either version 3 of the License, or # (at your option) any later version. # # elfutils is di…
+elfutils	GPL-3.0-or-later	COPYING + concesión en tests/run-eu-search-die.sh: …ion; either version 3 of the License, or # (at your option) any later version. # # elfutils is di…
+file	BSD-2-Clause	COPYING (texto de BSD-2-Clause)
+go	BSD-3-Clause	LICENSE (texto de BSD-3-Clause)
+gtk4-hello	LGPL-2.1-or-later	meson.build: license: 'LGPL-2.1-or-later'
+hammer-edit	LGPL-2.1-or-later	meson.build: license: 'LGPL-2.1-or-later'
+dav1d	BSD-2-Clause	COPYING (texto de BSD-2-Clause)
+exiv2	GPL-2.0-or-later	COPYING + concesión en README.md: …ation; either version 2 of the License, or (at your option) any later version. Exiv2 program is…
+intltool	GPL-2.0-or-later	COPYING + concesión en intltool-extract.in: …on; either version 2 of the # License, or (at your option) any later version. # # Intltool is d…
+libpcap	BSD-3-Clause	LICENSE (texto de BSD-3-Clause)
+libzip	BSD-3-Clause	LICENSE (texto de BSD-3-Clause)
+mtdev	MIT	COPYING (texto de MIT)
+json-c	MIT	COPYING (texto de MIT)
+libsodium	ISC	LICENSE (texto de ISC)
+libssh2	BSD-3-Clause	COPYING (texto de BSD-3-Clause)
+mesa-llvmpipe	MIT	meson.build: license: 'MIT'
+mesa-swrast	MIT	meson.build: license: 'MIT'
+mtdev	MIT	COPYING (texto de MIT)
+nano	GPL-3.0-or-later	COPYING + concesión en NEWS: …Finally, nano is now licensed under the GNU GPL version 3 or later, and its documentat…
+scdoc	MIT	COPYING (texto de MIT)
+seatd	MIT	meson.build: license: 'MIT'
+socat	GPL-2.0-or-later	COPYING + concesión en socat_buildscript_for_android.sh: …; either version 2.1 of the License, or (at your option) any later version. The GNU C Libr…
+sourceview-hello	LGPL-2.1-or-later	meson.build: license: 'LGPL-2.1-or-later'
+tllist	MIT	meson.build: license: 'MIT'