Den nya standarden SPDX 2.2 för informationsutbyte om licenser i paket har publicerats

Linux Foundation har presenterat en ny version av standarden SPDX 2.2 (Software Package Data Exchange), som erbjuder en uppsättning specifikationer för publicering och utbyte av information om licenser och immateriella rättigheter. Specifikationen tillåter att ange inte bara den allmänna licensen för hela paketet, utan också specificera licensvillkor för individuella filer och fragment, ange ägare till immateriella rättigheter för koden och personer som har granskat dess licensrenhet.

SPDX tillhandahåller en detaljerad karta över den immateriella egendomen som används i paketet, vilket gör det möjligt att snabbt bedöma potentiella risker, identifiera möjliga inkompatibiliteter och bekanta sig med de villkor som anges av licensen. Med hjälp av SPDX kan tillverkare av konsumentenheter säkerställa att de följer öppna licenser i sina produkter och identifiera licensöverträdelser i firmware som använder en blandning av både öppna och proprietära applikationer. Formatet är optimerat för automatisk bearbetning, men det finns också verktyg för att konvertera SPDX-filer till en mer människovänlig representation.

I den nya versionen har utvidgat antalet scenarier med exempel på tillämpning av SPDX, nya format för SPDX-dokument (JSON, YAML, XML) har föreslagits, nya typer av beroendebindningar har lagts till, fält för att återspegla upphovsrätt till paket, filer och kodsnuttar har lagts till, nya identifierare PURL (Package URLs) och SWHIDs (Software Heritage Persistent Identifiers) har lagts fram, ett förenklat format av SPDX Lite har presenterats, möjligheten att ange förkortade licensidentifierare i filer har lagts till, och stöd för flerradiga uttryck för att definiera licensen har lagts till.

Källa: opennet.ru