takana

3 Commits

Include renames

Author SHA1 Message Date

Author	SHA1	Message	Date
Sergio	ba1fb2d3a8	licencias: 95% (1114/1164) — la evidencia sale del tarball pineado, offline `licencias.sh --sembrar` escribe desde una tabla curada a mano y `licencias-desambiguar.sh` resuelve `-only` vs `-or-later` preguntándole a la búsqueda de código de GitHub. Los dos dejan fuera lo mismo: lo que nadie curó y lo que no vive en GitHub. Pero `work/tarballs/` indexa cada tarball por su sha256, así que el árbol EXACTO que la receta pinea ya está en disco: la declaración del propio autor, en el commit que construimos, sin red. De las 76 sin licencia, 55 tenían su tarball cacheado y 25 salieron con evidencia citable. `scripts/licencias-tarball.py` la busca en tres niveles: la declaración del autor (`Cargo.toml`, `meson.build`), un único fichero en `LICENSES/` (REUSE, que usa KDE), y el texto del COPYING más la CONCESIÓN buscada en las cabeceras de los fuentes — excluyendo COPYING/LICENSE, porque el apéndice de la GPL trae literalmente «or (at your option) any later version» y buscarla ahí da siempre positivo siendo plantilla. Es la regla que ya fijó `licencias-desambiguar.sh`, aplicada al árbol pineado en vez de a GitHub. La primera versión resolvía 40, y CUATRO estaban mal. Las dejo escritas porque son la forma del error, no accidentes: · `socat` salía BSD-2 por su `COPYING.OpenSSL`, que es la excepción, no la licencia. Un `COPYING` a secas gana ahora a cualquier sufijado. · `pigz` salía Apache-2.0 por `zopfli/COPYING`: la licencia de una pieza VENDORIZADA leída como la del contenedor. Sólo se mira la raíz. · `openssh` salía MIT porque su `LICENCE` es un compendio de cuatro y me quedaba con la primera que pegara. Si el texto trae varias, no hay veredicto: lo compone un humano. · `nano` salía GPL-3.0-or-later citando el «either version 2» de su `aclocal.m4` — plantilla de autotools, no del proyecto, y encima de otra versión. Ahora la cita tiene que venir de un fichero del autor Y hablar de la misma versión mayor que el COPYING. Y dos bugs míos que producían el mismo daño en silencio: la marca de BSD-3 era «Neither the name of», que libpcap y libzip no usan («The names of the authors may not be used to endorse») ⇒ se declaraban BSD-2; y el mayor de versión lo sacaba de `"GPL-3.0".rsplit("-",1)[0][-1]`, que da «L», así que la comprobación de coherencia rechazaba TODA cita válida. La validación final no es una regex: un identificador vale si tenemos su texto en `licenses/`. La obligación legal es acompañar el binario del TEXTO, así que un SPDX que no podemos entregar no adelanta nada y sí crea una afirmación que no se sostiene. Eso es lo que atrapa el «GPL2+» que meson deja escribir en `gsd-schemas` y `libgdm`, que no es un SPDX sino taquigrafía. Nada se sembró a ojo: cada línea de `docs/licencias-evidencia.tsv` lleva la cita que la decidió, y las 50 que quedan salen listadas con lo que SÍ se encontró en vez de rellenarse. Comprobado que no se invalida nada: los 26 ArtifactHash afectados son idénticos antes y después (`license` no está en `hash_inputs`) — medido, no supuesto.	2026-09-05 15:34:35 +00:00
Sergio	5f6c062cd9	adwaita-hello, sourceview-hello, hammer-edit: añadir `xz` a [deps] Con gtk4 ya sin objetivos compartidos, estas tres dejaron de fallar por PIC (0 errores) y pasaron a morir en el link con `unable to find static system library 'lzma'`. Misma causa que appstream: declaran `appstream` y `libxmlb` pero no `xz`, y `libxmlb.pc` trae `Requires: gio-2.0, liblzma, libzstd`. Al enlazar appstream estática necesitan la liblzma igual. Patrón `.pc Requires`→[deps]; `xz` va junto a `zstd`, que viene del mismo .pc. Con esto cierra la clausura ENTERA de gtk4 en el grafo del corpus, las 6 que colgaban de él: gtk4-hello, libadwaita, gtksourceview, adwaita-hello, sourceview-hello y hammer-edit — todas SELLADAS y con binario real.	2026-08-27 14:50:10 +00:00
sergioandClaude Opus 4.8	d99ed58850	harkaq: revertir busybox (era runtime base, rompía builds) + coordinar el §3 con Fable 5 DOS ERRORES MÍOS, uno de dirección y otro técnico, los dos en la cosecha automática: 1. DIRECCIÓN: declaró `busybox` como dep en 29 recetas — cuando la Etapa C lo está ELIMINANDO (USERLAND_COMPONENTS=[uutils,findutils,…], ya cerrada; joyas-reusables §5 lo confirma: "uutils… Ubuntu 25.10 los envía como default"). Estaba cimentando la deuda que el roadmap borra. 2. TÉCNICO: busybox YA está en el runtime base de harkaq (`ro /bin/busybox`, `ro /bin/sh` — el sandbox corre `sh -c` y /bin/sh→/bin/busybox). Es CONTRATO, no dep. Declararlo apila el busybox de hammer sobre el de Alpine y ROMPE el build: binutils daba "cannot run C compiled programs" en las DOS máquinas. Verificado: sin busybox declarado, binutils construye (b3:f4507dcd…). Y la cadena se explica: binutils roto ⇒ zlib (que lo declara) tampoco construía. Auditoría de la cosecha (diff real, no la línea completa del +): añadió sólo 5 deps distintas — make ×73, busybox ×29, perl ×8, pkgconf ×5, binutils ×1. Sólo busybox estaba mal; las otras 4 son deps reales medidas. busybox revertido de 30 recetas (queda sólo en busybox.toml, pre-existente). Es el mismo error que ya me habían señalado con otro disfraz: MEDIR BIEN Y ACCIONAR MAL. harkaq midió correcto (el build toca /bin/busybox: es el shell); la acción correcta no era declararlo sino reconocerlo como contrato. + COORDINACIÓN del §3 con Fable 5 (mismo diseño, tareas repartidas): - Su lección casper queda CONFIRMADA y REFORZADA: la clausura de build no sólo le FALTAN las clases del mundo (offline) — también le SOBRA casi todo (headers, gcc). Medido: htop (estático, 0 NEEDED) no toca NADA al correr ⇒ política = su binario. - Su "la clase viaja como campo de la ConcesionCapacidad, sin formato nuevo" se cumple LITERALMENTE: lo firmado es format::Permisos = u32 bitmask en 36 bytes canónicos (Ring 0) ⇒ las clases SON los bits. La cripto no se toca. - Diseño unificado: frontera (clases, u32, declaradas) + detalle (paths, Landlock, medidos). D3 rige en ambos. - Reparto: clases→Fable 5; medición/harness→Opus. CONTACTO: runtime-policy.sh ahora emite la CLASE detectada (/etc/resolv.conf→dns, /etc/ssl/certs→tls-certs, …), no sólo el path: la medición alimenta la tabla, la tabla decide el bit. - Consumidor esperando: plan-jaula-juegos F1 (Steam que no puede leer ~/.ssh). + juez.sh (§10): nombre único por corrida (con uno fijo pega en caché ⇒ falso "sin evidencia"). Fue el juez quien destapó todo esto en su primera corrida real. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-16 23:14:19 -04:00

ba1fb2d3a8

licencias: 95% (1114/1164) — la evidencia sale del tarball pineado, offline

`licencias.sh --sembrar` escribe desde una tabla curada a mano y `licencias-desambiguar.sh` resuelve
`-only` vs `-or-later` preguntándole a la búsqueda de código de GitHub. Los dos dejan fuera lo mismo:
lo que nadie curó y lo que no vive en GitHub.

Pero `work/tarballs/` indexa cada tarball por su sha256, así que el árbol EXACTO que la receta pinea
ya está en disco: la declaración del propio autor, en el commit que construimos, sin red. De las 76
sin licencia, 55 tenían su tarball cacheado y 25 salieron con evidencia citable.

`scripts/licencias-tarball.py` la busca en tres niveles: la declaración del autor (`Cargo.toml`,
`meson.build`), un único fichero en `LICENSES/` (REUSE, que usa KDE), y el texto del COPYING más la
CONCESIÓN buscada en las cabeceras de los fuentes — excluyendo COPYING/LICENSE, porque el apéndice
de la GPL trae literalmente «or (at your option) any later version» y buscarla ahí da siempre
positivo siendo plantilla. Es la regla que ya fijó `licencias-desambiguar.sh`, aplicada al árbol
pineado en vez de a GitHub.

La primera versión resolvía 40, y CUATRO estaban mal. Las dejo escritas porque son la forma del
error, no accidentes:

  · `socat` salía BSD-2 por su `COPYING.OpenSSL`, que es la excepción, no la licencia. Un `COPYING`
    a secas gana ahora a cualquier sufijado.
  · `pigz` salía Apache-2.0 por `zopfli/COPYING`: la licencia de una pieza VENDORIZADA leída como la
    del contenedor. Sólo se mira la raíz.
  · `openssh` salía MIT porque su `LICENCE` es un compendio de cuatro y me quedaba con la primera
    que pegara. Si el texto trae varias, no hay veredicto: lo compone un humano.
  · `nano` salía GPL-3.0-**or-later** citando el «either version 2» de su `aclocal.m4` — plantilla de
    autotools, no del proyecto, y encima de otra versión. Ahora la cita tiene que venir de un fichero
    del autor Y hablar de la misma versión mayor que el COPYING.

Y dos bugs míos que producían el mismo daño en silencio: la marca de BSD-3 era «Neither the name of»,
que libpcap y libzip no usan («The names of the authors may not be used to endorse») ⇒ se declaraban
BSD-2; y el mayor de versión lo sacaba de `"GPL-3.0".rsplit("-",1)[0][-1]`, que da «L», así que la
comprobación de coherencia rechazaba TODA cita válida.

La validación final no es una regex: un identificador vale si tenemos su texto en `licenses/`. La
obligación legal es acompañar el binario del TEXTO, así que un SPDX que no podemos entregar no
adelanta nada y sí crea una afirmación que no se sostiene. Eso es lo que atrapa el «GPL2+» que meson
deja escribir en `gsd-schemas` y `libgdm`, que no es un SPDX sino taquigrafía.

Nada se sembró a ojo: cada línea de `docs/licencias-evidencia.tsv` lleva la cita que la decidió, y
las 50 que quedan salen listadas con lo que SÍ se encontró en vez de rellenarse.

Comprobado que no se invalida nada: los 26 ArtifactHash afectados son idénticos antes y después
(`license` no está en `hash_inputs`) — medido, no supuesto.

2026-09-05 15:34:35 +00:00

Sergio

5f6c062cd9

adwaita-hello, sourceview-hello, hammer-edit: añadir xz a [deps]

Con gtk4 ya sin objetivos compartidos, estas tres dejaron de fallar por PIC
(0 errores) y pasaron a morir en el link con `unable to find static system
library 'lzma'`.

Misma causa que appstream: declaran `appstream` y `libxmlb` pero no `xz`, y
`libxmlb.pc` trae `Requires: gio-2.0, liblzma, libzstd`. Al enlazar appstream
estática necesitan la liblzma igual. Patrón `.pc Requires`→[deps]; `xz` va
junto a `zstd`, que viene del mismo .pc.

Con esto cierra la clausura ENTERA de gtk4 en el grafo del corpus, las 6 que
colgaban de él: gtk4-hello, libadwaita, gtksourceview, adwaita-hello,
sourceview-hello y hammer-edit — todas SELLADAS y con binario real.

2026-08-27 14:50:10 +00:00

sergioandClaude Opus 4.8

d99ed58850

harkaq: revertir busybox (era runtime base, rompía builds) + coordinar el §3 con Fable 5

DOS ERRORES MÍOS, uno de dirección y otro técnico, los dos en la cosecha automática:

1. DIRECCIÓN: declaró `busybox` como dep en 29 recetas — cuando la Etapa C lo está
   ELIMINANDO (USERLAND_COMPONENTS=[uutils,findutils,…], ya cerrada; joyas-reusables
   §5 lo confirma: "uutils… Ubuntu 25.10 los envía como default"). Estaba cimentando
   la deuda que el roadmap borra.
2. TÉCNICO: busybox YA está en el runtime base de harkaq (`ro /bin/busybox`, `ro
   /bin/sh` — el sandbox corre `sh -c` y /bin/sh→/bin/busybox). Es CONTRATO, no dep.
   Declararlo apila el busybox de hammer sobre el de Alpine y ROMPE el build:
   binutils daba "cannot run C compiled programs" en las DOS máquinas. Verificado:
   sin busybox declarado, binutils construye (b3:f4507dcd…). Y la cadena se explica:
   binutils roto ⇒ zlib (que lo declara) tampoco construía.

Auditoría de la cosecha (diff real, no la línea completa del +): añadió sólo 5 deps
distintas — make ×73, busybox ×29, perl ×8, pkgconf ×5, binutils ×1. Sólo busybox
estaba mal; las otras 4 son deps reales medidas. busybox revertido de 30 recetas
(queda sólo en busybox.toml, pre-existente).

Es el mismo error que ya me habían señalado con otro disfraz: MEDIR BIEN Y ACCIONAR
MAL. harkaq midió correcto (el build toca /bin/busybox: es el shell); la acción
correcta no era declararlo sino reconocerlo como contrato.

+ COORDINACIÓN del §3 con Fable 5 (mismo diseño, tareas repartidas):
  - Su lección casper queda CONFIRMADA y REFORZADA: la clausura de build no sólo le
    FALTAN las clases del mundo (offline) — también le SOBRA casi todo (headers, gcc).
    Medido: htop (estático, 0 NEEDED) no toca NADA al correr ⇒ política = su binario.
  - Su "la clase viaja como campo de la ConcesionCapacidad, sin formato nuevo" se
    cumple LITERALMENTE: lo firmado es format::Permisos = u32 bitmask en 36 bytes
    canónicos (Ring 0) ⇒ las clases SON los bits. La cripto no se toca.
  - Diseño unificado: frontera (clases, u32, declaradas) + detalle (paths, Landlock,
    medidos). D3 rige en ambos.
  - Reparto: clases→Fable 5; medición/harness→Opus. CONTACTO: runtime-policy.sh ahora
    emite la CLASE detectada (/etc/resolv.conf→dns, /etc/ssl/certs→tls-certs, …), no
    sólo el path: la medición alimenta la tabla, la tabla decide el bit.
  - Consumidor esperando: plan-jaula-juegos F1 (Steam que no puede leer ~/.ssh).

+ juez.sh (§10): nombre único por corrida (con uno fijo pega en caché ⇒ falso
  "sin evidencia"). Fue el juez quien destapó todo esto en su primera corrida real.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-16 23:14:19 -04:00