Sergio
ba1fb2d3a8
`licencias.sh --sembrar` escribe desde una tabla curada a mano y `licencias-desambiguar.sh` resuelve
`-only` vs `-or-later` preguntándole a la búsqueda de código de GitHub. Los dos dejan fuera lo mismo:
lo que nadie curó y lo que no vive en GitHub.
Pero `work/tarballs/` indexa cada tarball por su sha256, así que el árbol EXACTO que la receta pinea
ya está en disco: la declaración del propio autor, en el commit que construimos, sin red. De las 76
sin licencia, 55 tenían su tarball cacheado y 25 salieron con evidencia citable.
`scripts/licencias-tarball.py` la busca en tres niveles: la declaración del autor (`Cargo.toml`,
`meson.build`), un único fichero en `LICENSES/` (REUSE, que usa KDE), y el texto del COPYING más la
CONCESIÓN buscada en las cabeceras de los fuentes — excluyendo COPYING/LICENSE, porque el apéndice
de la GPL trae literalmente «or (at your option) any later version» y buscarla ahí da siempre
positivo siendo plantilla. Es la regla que ya fijó `licencias-desambiguar.sh`, aplicada al árbol
pineado en vez de a GitHub.
La primera versión resolvía 40, y CUATRO estaban mal. Las dejo escritas porque son la forma del
error, no accidentes:
· `socat` salía BSD-2 por su `COPYING.OpenSSL`, que es la excepción, no la licencia. Un `COPYING`
a secas gana ahora a cualquier sufijado.
· `pigz` salía Apache-2.0 por `zopfli/COPYING`: la licencia de una pieza VENDORIZADA leída como la
del contenedor. Sólo se mira la raíz.
· `openssh` salía MIT porque su `LICENCE` es un compendio de cuatro y me quedaba con la primera
que pegara. Si el texto trae varias, no hay veredicto: lo compone un humano.
· `nano` salía GPL-3.0-**or-later** citando el «either version 2» de su `aclocal.m4` — plantilla de
autotools, no del proyecto, y encima de otra versión. Ahora la cita tiene que venir de un fichero
del autor Y hablar de la misma versión mayor que el COPYING.
Y dos bugs míos que producían el mismo daño en silencio: la marca de BSD-3 era «Neither the name of»,
que libpcap y libzip no usan («The names of the authors may not be used to endorse») ⇒ se declaraban
BSD-2; y el mayor de versión lo sacaba de `"GPL-3.0".rsplit("-",1)[0][-1]`, que da «L», así que la
comprobación de coherencia rechazaba TODA cita válida.
La validación final no es una regex: un identificador vale si tenemos su texto en `licenses/`. La
obligación legal es acompañar el binario del TEXTO, así que un SPDX que no podemos entregar no
adelanta nada y sí crea una afirmación que no se sostiene. Eso es lo que atrapa el «GPL2+» que meson
deja escribir en `gsd-schemas` y `libgdm`, que no es un SPDX sino taquigrafía.
Nada se sembró a ojo: cada línea de `docs/licencias-evidencia.tsv` lleva la cita que la decidió, y
las 50 que quedan salen listadas con lo que SÍ se encontró en vez de rellenarse.
Comprobado que no se invalida nada: los 26 ArtifactHash afectados son idénticos antes y después
(`license` no está en `hash_inputs`) — medido, no supuesto.
43 lines
2.6 KiB
TOML
43 lines
2.6 KiB
TOML
# dav1d 1.5.4 — el decodificador AV1 de VideoLAN. Entra por la puerta de atrás: lo pide `dav1d-sys`,
|
|
# que llega al grafo de `cosmic-bg` a través del crate `image`.
|
|
#
|
|
# ── POR QUÉ ESTÁ ACÁ Y NO SE APAGÓ LA FEATURE ───────────────────────────────────────────────────
|
|
# cosmic-bg declara `image` con `default-features = false` y sin AVIF. Igual se compila `dav1d-sys`,
|
|
# porque **las features de cargo se UNIFICAN en el grafo**: alcanza con que otro crate del árbol
|
|
# —acá, los que traen `image` con sus defaults— la prenda, y la decisión del paquete que la apagó no
|
|
# manda. Es el mismo modo de falla que un `.pc Requires` arrastrando una dep que nadie declaró.
|
|
# Se podría parchear el Cargo.toml de upstream para cortarlo, pero eso es mentirle al paquete sobre
|
|
# lo que hace: si el grafo dice que sabe decodificar AVIF, que lo sepa de verdad.
|
|
#
|
|
# Y no es una dep de un solo cliente: cualquier cosa del corpus que decodifique AV1 la va a querer.
|
|
#
|
|
# ── DECISIONES DEL BUILD, LAS DOS MEDIDAS EN EL meson.build ─────────────────────────────────────
|
|
# · `nasm` es dep de build REAL, no opcional: con `enable_asm` (el default) `meson.build:536` hace
|
|
# `find_program('nasm')` y exige >= 2.14. La alternativa honesta sería `-Denable_asm=false`, que
|
|
# deja un decodificador AV1 en C puro — varias veces más lento. nasm ya está sellado en la cola
|
|
# GNOME, así que la copia no cuesta un build (hash verificado: b3:33383070).
|
|
# · `default_library=both`: dav1d-sys resuelve por pkg-config, y quien lo consuma con enlace ESTÁTICO
|
|
# necesita la `.a`. Publicar sólo la `.so` convierte cualquier `link = "static"` río abajo en una
|
|
# etiqueta falsa — la deuda que el frente static-audit ya persiguió una vez.
|
|
name = "dav1d"
|
|
version = "1.5.4"
|
|
license = "BSD-2-Clause"
|
|
|
|
[source]
|
|
tarball = "https://code.videolan.org/videolan/dav1d/-/archive/1.5.4/dav1d-1.5.4.tar.gz"
|
|
sha256 = "a1d5b63d2d38ec9bd03acf643caa51fa22edd1e89c5a109c4807717216bbec07"
|
|
|
|
[build]
|
|
compiler = "zig-cc"
|
|
target = "x86_64-linux-musl"
|
|
link = "dynamic"
|
|
zig_version = "0.13.0"
|
|
|
|
[build.phases]
|
|
configure = "PKG_CONFIG_PATH=/usr/lib/pkgconfig:/usr/share/pkgconfig meson setup output --prefix=/usr --libdir=/usr/lib --buildtype=release --default-library=both -Denable_tools=false -Denable_tests=false"
|
|
compile = "ninja -C output"
|
|
install = "DESTDIR=/out ninja -C output install"
|
|
|
|
[deps]
|
|
build = ["meson", "samurai", "python3", "pkgconf", "nasm"]
|