Intercambio de datos de paquetes de software

El estándar SPDX 2.x define un documento SBOM, que contiene metadatos SPDX sobre el software. El documento en sí puede expresarse en múltiples formatos, incluyendo JSON, YAML, RDF/XML, etiquetas-valor y hojas de cálculo. Cada documento SPDX describe uno o más elementos, que pueden ser un paquete de software, un archivo específico o un fragmento de un archivo. A cada elemento se le asigna un identificador único, y los metadatos de un elemento pueden hacer referencia a otros elementos. ^{[ 6 ]}

SPDX 3.0 permite a los usuarios comunicar información con un nivel de detalle mucho mayor, sin necesidad de empaquetarla como datos de "sobre". Un principio de diseño clave en SPDX 3.0 es que todos los elementos pueden expresarse y referenciarse independientemente de cualquier otro elemento. Esta independencia es necesaria para admitir diversos casos de uso de intercambio y análisis de contenido, y facilita la comunicación de elementos individuales de interés. La estructura de relaciones también se ha actualizado para ser más expresiva y fácil de entender en comparación con versiones anteriores de la especificación.

El modelo de datos SPDX 3.0 se basa en el Marco de Descripción de Recursos (RDF). Los datos pueden serializarse en diversos formatos para su almacenamiento y transmisión, incluidos los definidos en RDF 1.1, como JSON-LD, Turtle (lenguaje de triples RDF conciso), N-Triples y RDF/XML.

Cada licencia se identifica mediante un nombre completo, como "Mozilla Public License 2.0", y un identificador corto, en este caso "MPL-2.0". Las licencias se pueden combinar mediante operadores ANDy OR, y agrupando (, ).

Por ejemplo, (Apache-2.0 OR MIT)significa que se puede elegir entre Apache-2.0( Licencia Apache ) o MIT( Licencia MIT ). Por otro lado, (Apache-2.0 AND MIT)significa que se aplican ambas licencias.

También existe el operador "+" que, al aplicarse a una licencia, significa que las versiones futuras de la misma también se aplicarán. Por ejemplo, Apache-1.1+significa que Apache-1.1y Apache-2.0pueden aplicarse (y las versiones futuras, si las hubiera).

SPDX describe los términos exactos bajo los cuales se licencia un software. No intenta categorizar las licencias por tipo, por ejemplo, describiendo las licencias con términos similares a la Licencia BSD como "similares a BSD". ^{[ 20 ]}

En 2020, la Comisión Europea publicó su Asistente de Licencias Joinup, ^{[ 21 ]} que permite la selección y comparación de más de 50 licencias, con acceso a su identificador SPDX y texto completo.

La familia de licencias GNU (por ejemplo, la Licencia Pública General GNU versión 2 ) tiene la opción de elegir una versión posterior de la licencia incorporada. A veces, no estaba claro si la expresión SPDX GPL-2.0significaba "exactamente GPL versión 2.0" o "GPL versión 2.0 o cualquier versión posterior". ^{[ 22 ]} Por lo tanto, desde la versión 3.0 de la Lista de Licencias SPDX, la familia de licencias GNU recibió nuevos nombres. ^{[ 23 ]}GPL-2.0-only significa "exactamente versión 2.0" y GPL-2.0-or-latersignifica "versión 2.0 o cualquier versión posterior".

El identificador de licencia SPDX se puede agregar al principio de los archivos de código fuente como una cadena corta que declara inequívocamente la licencia utilizada. La SPDX-License-Identifiersintaxis, desarrollada por Das U-Boot en 2013, se incorporó a SPDX en la versión 2.1. En 2017, la FSFE lanzó REUSE , que proporciona herramientas para validar el comentario y extraer de forma eficiente la información de derechos de autor. ^{[ 24 ]}

El identificador de licencia SPDX también se utiliza en varios gestores de paquetes como npm , ^{[ 25 ]} Python, ^{[ 26 ]} y Rust cargo. ^{[ 27 ]} Las expresiones de licencia SPDX se utilizan en los metadatos de los paquetes RPM en Fedora Linux , reemplazando el uso anterior del sistema Callaway. ^{[ 28 ]} Debian utiliza una especificación de licencia ligeramente diferente. ^{[ 29 ]}