takana

2,055 Commits 1 Branch 0 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
Sergio	1505bfad78	licencias: ffmpeg y LLVM salen del árbol — «lo decide un humano» era «lo decide la receta» Tres que había clasificado como decisión legal y no lo eran. Las dos causas son distintas y las dos me las estaba perdiendo por mirar sólo el árbol: ffmpeg → LGPL-2.1-or-later. Su raíz trae cuatro COPYING.* y por eso el detector se planta, con razón: el árbol solo no puede decidir. Pero el `LICENSE.md` del propio ffmpeg explica la regla —«In combination the LGPL v2.1+ applies to FFmpeg» y «None of these parts are used by default, you have to explicitly pass `--enable-gpl`… In this case, FFmpeg's license changes to GPL v2+»— y la respuesta la da NUESTRA receta: no pasa `--enable-gpl` ni `--enable-version3`, y encima va con `--disable-autodetect`. O sea que la licencia sale de cruzar el árbol con los flags, no de elegir uno de los cuatro ficheros. llvm18 y clang18 → Apache-2.0 WITH LLVM-exception. Acá el detector veía «tres licencias distintas» en un solo `LICENSE.TXT` y se plantaba, pero el fichero ABRE diciendo «The LLVM Project is under the Apache License v2.0 with LLVM Exceptions»: lo demás es la sección legada. La regla de «varias licencias ⇒ decide un humano» es correcta como default y aquí el humano sólo tuvo que leer la primera línea. `licenses/` pasa de 48 a 49 textos: `LLVM-exception` hacía falta para poder declararla, que es el lazo de siempre —no se declara lo que no se puede entregar—. El único sin texto canónico sigue siendo `LicenseRef-qorpa-ajena-no-enumerable`, que es identificador nuestro y SPDX no publica. 97% (1135/1165); la cola baja de 27 a 24. Los 3 ArtifactHash, idénticos.	2026-09-05 21:26:53 +00:00
Sergio	59a0e56a16	licencias 97% (1132/1165): «no hay fichero» y «no reconozco el texto» no son lo mismo El script decía «sin COPYING ni declaración en el árbol» para `lsof`, `when`, `wpa_supplicant`, `perl-xml-parser` y `fuse3` — y las cinco SÍ tienen un COPYING o un LICENSE en la raíz. Lo que pasaba es que ninguna de mis huellas reconocía su texto, que es un problema distinto y se acciona distinto: uno pide buscar la licencia en otro sitio, el otro pide una huella nueva o leerla. Decir lo mismo de los dos casos mandaba a mirar donde no era. Ahora el mensaje nombra el fichero y cita su primera línea, y con eso tres se resolvieron leyéndolas: · `wpa_supplicant` — su COPYING no es una licencia sino un aviso: «the project has chosen to use only the BSD license option for future distribution», y remite al README. El README trae las tres cláusulas clásicas ⇒ BSD-3-Clause. Sin seguir esa remisión no había veredicto posible. · `when` — «under the same terms as Perl, or, at your option, under version 2 of the GPL». «Los mismos términos que Perl» ES la disyunción Artistic-1.0-Perl OR GPL-1.0-or-later, y la opción de GPL-2 ya queda cubierta por el `-or-later`. · `perl-xml-parser` — su LICENSE es el texto íntegro de la Artistic License 2.0. Ese último obligó a cerrar un lazo que yo mismo había dejado abierto: el script se niega a declarar un SPDX cuyo TEXTO no tengamos en `licenses/`, porque la obligación legal es entregar el texto y no el nombre. Pero `licencias-textos.sh` deriva qué textos bajar DE las licencias ya declaradas ⇒ una licencia genuinamente nueva no podía entrar por ningún lado. El orden que lo resuelve es: declarar con evidencia, bajar el texto, comprobar que llegó. `licenses/` pasa de 44 a 48 textos y el único que queda sin texto canónico es `LicenseRef-qorpa-ajena-no-enumerable`, que es un identificador nuestro y SPDX no publica. Quedan 33. `lsof` (licencia propia de Purdue) y `fuse3` (aviso compuesto: LGPL para la librería, GPL para las utilidades) siguen pendientes a propósito, y el resto son expresiones que decide una persona: gmp, ffmpeg, clang18, llvm18 y los `gi-*` traen VARIOS ficheros de licencia que dicen cosas distintas, y en ffmpeg la respuesta ni siquiera está en el árbol —la deciden los flags de la receta. Los 3 ArtifactHash, idénticos antes y después.	2026-09-05 18:10:52 +00:00
sergioandClaude Opus 5	be4e91086c	licencias: el texto dentro de la imagen, con veto — y el SDD 19/20 se equivocaba de sitio ═══ LA CORRECCIÓN DE FONDO: no es `pack`, son las IMÁGENES ═══ El SDD 19 y el 20 decían «inyectar el texto de la licencia en `hammer pack`, que es aguas abajo del ArtifactHash y sale gratis». La conclusión sobre el coste era correcta pero el SITIO estaba mal, y por una razón que sólo se ve leyendo el código: `pack` produce un `.swm`, que es una RECETA DE TRANSFORMACIÓN sobre fuente pública y por diseño explícito «NUNCA transporta binarios cocidos»; e `install` REPRODUCE construyendo, con cache-hit del corpus, en vez de bajar binarios. O sea que el canal de paquetes de hammer no distribuye binarios y la obligación de acompañar-el-binario ahí casi no aplica. Donde sí aplica, con toda su fuerza, es en la IMAGEN INSTALABLE: su rootfs se puebla con `hammer install` sobre un prefix y de ahí sale un USB/ISO lleno de binarios que se le da a alguien. Ése es el punto de entrega. (La obligación del espejo de FUENTES es otra y sigue entera: las recetas apuntan a URLs de terceros que se caen.) ═══ LO QUE ENTRA ═══ · `scripts/licencias-textos.sh` + `licenses/`: los 44 textos CANÓNICOS de SPDX (spdx/license-list-data), uno por identificador realmente en uso — la lista se saca de las recetas, no de un fichero escrito a mano que se desincroniza. 764K. · `scripts/licencias-rootfs.sh`: escribe /usr/share/licenses/<pkg>/ con el texto de CADA licencia de la expresión (`Unlicense OR MIT` ⇒ los DOS textos: en un OR el destinatario elige, y entregar uno solo le quita una opción que el autor le concedió), más un MANIFEST.tsv. Medido: 1,0 MB para el perfil `cli` de 44 paquetes. ═══ Y SOBRE TODO: ES UN VETO ═══ Sale ≠0 si algún paquete del rootfs no declara licencia. Un informe que no puede bloquear no cambia lo que ocurre; esto corta el paso. Y se ganó el sueldo al primer intento: reveló que los perfiles `base` y `cli` —los dos más simples, los que primero se publicarían— llevaban 10 y 12 paquetes con binarios y licencia desconocida. Curados los 10 que se podían afirmar (doas, iputils, less, mandoc, procps-ng, rsync, strace, sudo, tree, usbutils); ambos perfiles bajan a 2. Esos 2 NO se rellenan a propósito, y quedan vetando: · lsof — licencia propia del proyecto, sin identificador SPDX. Toca `LicenseRef-lsof` con su texto, que ya viaja en el tarball (la receta instala su COPYING). · tzdata — dominio público por declaración de sus autores, y SPDX no tiene identificador para eso (es una AUSENCIA de licencia, no una licencia). Toca `LicenseRef-PublicDomain` documentado, no forzar uno de la lista. De paso: normalizado `GPL-3.0+` (sufijo antiguo) a `GPL-3.0-or-later`, misma equivalencia documentada que la barra de Cargo. Y el caso especial que puse para `Linux-syscall-note` («las excepciones viven en exceptions/») era una suposición razonable y FALSA: SPDX las publica en el mismo `text/`; ese directorio no existe. 1063 de 1141 (93%). Hashes verificados: 0 movidos. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-08-07 14:53:20 -04:00

Author

SHA1

Message

Date

Sergio

1505bfad78

licencias: ffmpeg y LLVM salen del árbol — «lo decide un humano» era «lo decide la receta»

Tres que había clasificado como decisión legal y no lo eran. Las dos causas son distintas y las dos
me las estaba perdiendo por mirar sólo el árbol:

**ffmpeg → LGPL-2.1-or-later.** Su raíz trae cuatro COPYING.* y por eso el detector se planta, con
razón: el árbol solo no puede decidir. Pero el `LICENSE.md` del propio ffmpeg explica la regla —«In
combination the LGPL v2.1+ applies to FFmpeg» y «None of these parts are used by default, you have to
explicitly pass `--enable-gpl`… In this case, FFmpeg's license changes to GPL v2+»— y la respuesta la
da NUESTRA receta: no pasa `--enable-gpl` ni `--enable-version3`, y encima va con
`--disable-autodetect`. O sea que la licencia sale de cruzar el árbol con los flags, no de elegir uno
de los cuatro ficheros.

**llvm18 y clang18 → Apache-2.0 WITH LLVM-exception.** Acá el detector veía «tres licencias
distintas» en un solo `LICENSE.TXT` y se plantaba, pero el fichero ABRE diciendo «The LLVM Project is
under the Apache License v2.0 with LLVM Exceptions»: lo demás es la sección legada. La regla de
«varias licencias ⇒ decide un humano» es correcta como default y aquí el humano sólo tuvo que leer la
primera línea.

`licenses/` pasa de 48 a 49 textos: `LLVM-exception` hacía falta para poder declararla, que es el
lazo de siempre —no se declara lo que no se puede entregar—. El único sin texto canónico sigue siendo
`LicenseRef-qorpa-ajena-no-enumerable`, que es identificador nuestro y SPDX no publica.

97% (1135/1165); la cola baja de 27 a 24. Los 3 ArtifactHash, idénticos.

2026-09-05 21:26:53 +00:00

Sergio

59a0e56a16

licencias 97% (1132/1165): «no hay fichero» y «no reconozco el texto» no son lo mismo

El script decía «sin COPYING ni declaración en el árbol» para `lsof`, `when`, `wpa_supplicant`,
`perl-xml-parser` y `fuse3` — y las cinco SÍ tienen un COPYING o un LICENSE en la raíz. Lo que
pasaba es que ninguna de mis huellas reconocía su texto, que es un problema distinto y se acciona
distinto: uno pide buscar la licencia en otro sitio, el otro pide una huella nueva o leerla. Decir lo
mismo de los dos casos mandaba a mirar donde no era. Ahora el mensaje nombra el fichero y cita su
primera línea, y con eso tres se resolvieron leyéndolas:

· `wpa_supplicant` — su COPYING no es una licencia sino un aviso: «the project has chosen to use
only the BSD license option for future distribution», y remite al README. El README trae las tres
cláusulas clásicas ⇒ BSD-3-Clause. Sin seguir esa remisión no había veredicto posible.
· `when` — «under the same terms as Perl, or, at your option, under version 2 of the GPL». «Los
mismos términos que Perl» ES la disyunción Artistic-1.0-Perl OR GPL-1.0-or-later, y la opción de
GPL-2 ya queda cubierta por el `-or-later`.
· `perl-xml-parser` — su LICENSE es el texto íntegro de la Artistic License 2.0.

Ese último obligó a cerrar un lazo que yo mismo había dejado abierto: el script se niega a declarar
un SPDX cuyo TEXTO no tengamos en `licenses/`, porque la obligación legal es entregar el texto y no
el nombre. Pero `licencias-textos.sh` deriva qué textos bajar DE las licencias ya declaradas ⇒ una
licencia genuinamente nueva no podía entrar por ningún lado. El orden que lo resuelve es: declarar
con evidencia, bajar el texto, comprobar que llegó. `licenses/` pasa de 44 a 48 textos y el único que
queda sin texto canónico es `LicenseRef-qorpa-ajena-no-enumerable`, que es un identificador nuestro y
SPDX no publica.

Quedan 33. `lsof` (licencia propia de Purdue) y `fuse3` (aviso compuesto: LGPL para la librería, GPL
para las utilidades) siguen pendientes a propósito, y el resto son expresiones que decide una
persona: gmp, ffmpeg, clang18, llvm18 y los `gi-*` traen VARIOS ficheros de licencia que dicen cosas
distintas, y en ffmpeg la respuesta ni siquiera está en el árbol —la deciden los flags de la receta.

Los 3 ArtifactHash, idénticos antes y después.

2026-09-05 18:10:52 +00:00

sergioandClaude Opus 5

be4e91086c

licencias: el texto dentro de la imagen, con veto — y el SDD 19/20 se equivocaba de sitio

═══ LA CORRECCIÓN DE FONDO: no es `pack`, son las IMÁGENES ═══
El SDD 19 y el 20 decían «inyectar el texto de la licencia en `hammer pack`, que es aguas
abajo del ArtifactHash y sale gratis». La conclusión sobre el coste era correcta pero el
SITIO estaba mal, y por una razón que sólo se ve leyendo el código: `pack` produce un
`.swm`, que es una RECETA DE TRANSFORMACIÓN sobre fuente pública y por diseño explícito
«NUNCA transporta binarios cocidos»; e `install` REPRODUCE construyendo, con cache-hit del
corpus, en vez de bajar binarios. O sea que **el canal de paquetes de hammer no distribuye
binarios** y la obligación de acompañar-el-binario ahí casi no aplica.

Donde sí aplica, con toda su fuerza, es en la IMAGEN INSTALABLE: su rootfs se puebla con
`hammer install` sobre un prefix y de ahí sale un USB/ISO lleno de binarios que se le da a
alguien. Ése es el punto de entrega. (La obligación del espejo de FUENTES es otra y sigue
entera: las recetas apuntan a URLs de terceros que se caen.)

═══ LO QUE ENTRA ═══
· `scripts/licencias-textos.sh` + `licenses/`: los 44 textos CANÓNICOS de SPDX
  (spdx/license-list-data), uno por identificador realmente en uso — la lista se saca de las
  recetas, no de un fichero escrito a mano que se desincroniza. 764K.
· `scripts/licencias-rootfs.sh`: escribe /usr/share/licenses/<pkg>/ con el texto de CADA
  licencia de la expresión (`Unlicense OR MIT` ⇒ los DOS textos: en un OR el destinatario
  elige, y entregar uno solo le quita una opción que el autor le concedió), más un
  MANIFEST.tsv. Medido: 1,0 MB para el perfil `cli` de 44 paquetes.

═══ Y SOBRE TODO: ES UN VETO ═══
Sale ≠0 si algún paquete del rootfs no declara licencia. Un informe que no puede bloquear no
cambia lo que ocurre; esto corta el paso. Y se ganó el sueldo al primer intento: reveló que
los perfiles `base` y `cli` —los dos más simples, los que primero se publicarían— llevaban
10 y 12 paquetes con binarios y licencia desconocida. Curados los 10 que se podían afirmar
(doas, iputils, less, mandoc, procps-ng, rsync, strace, sudo, tree, usbutils); ambos perfiles
bajan a 2.

Esos 2 NO se rellenan a propósito, y quedan vetando:
 · lsof   — licencia propia del proyecto, sin identificador SPDX. Toca `LicenseRef-lsof` con
            su texto, que ya viaja en el tarball (la receta instala su COPYING).
 · tzdata — dominio público por declaración de sus autores, y SPDX no tiene identificador
            para eso (es una AUSENCIA de licencia, no una licencia). Toca
            `LicenseRef-PublicDomain` documentado, no forzar uno de la lista.

De paso: normalizado `GPL-3.0+` (sufijo antiguo) a `GPL-3.0-or-later`, misma equivalencia
documentada que la barra de Cargo. Y el caso especial que puse para `Linux-syscall-note`
(«las excepciones viven en exceptions/») era una suposición razonable y FALSA: SPDX las
publica en el mismo `text/`; ese directorio no existe.

1063 de 1141 (93%). Hashes verificados: 0 movidos.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

2026-08-07 14:53:20 -04:00