sergio/takana

1#!/usr/bin/env bash
2# licencias.sh — mide y puebla el campo `license` de las recetas. SDD 19 §2.1.
3#
4# ── EL PROBLEMA ─────────────────────────────────────────────────────────────────────────────────
5# Medido el 2026-08-07: **0 de 1141 recetas** declaraban licencia. (Un informe anterior dijo «5 de
6# 771»; los dos números estaban mal. Los «5» eran falsos positivos de `grep license`: el paquete
7# `addlicense`, el paquete `cargo-bundle-licenses`, una línea `install ... /usr/share/licenses/` y un
8# comentario. Y las recetas son 1141, no 771. Lección: contar con `grep -l <palabra>` sobre TOML
9# cuenta comentarios y nombres, no campos.)
10#
11# Sin ese dato la distro no puede cumplir la GPL cuando redistribuye binarios: la obligación es
12# acompañar el binario del texto de la licencia y poder entregar la fuente correspondiente. Es
13# BLOQUEANTE para publicar, y es la deuda que más barato sale pagar temprano: a 1141 recetas es un
14# rato de trabajo, a 2600 es un proyecto.
15#
16# ── POR QUÉ ESTO NO RE-HASHEA NADA (lo que hace la deuda pagable) ───────────────────────────────
17# `Recipe::hash_inputs` es una LISTA BLANCA: sólo entran source, compiler, target, link, patches,
18# flags, phases y deps. `license` no entra, igual que `evidence` y `slots`. O sea que se puede poblar
19# en las 1141 recetas YA SELLADAS sin mover un solo ArtifactHash ni invalidar el baseline de
20# reproducibilidad. Está clavado con un test: `licencia_round_trip_y_no_afecta_el_hash`.
21#
22# ── DÓNDE VA LA LÍNEA (trampa de TOML, cuesta una tarde si se ignora) ───────────────────────────
23# En TOML una clave suelta después de un `[table]` pertenece a ESA tabla. `license = "..."` puesto al
24# final del fichero acaba dentro de `[deps]` y **se pierde en silencio**, porque serde ignora los
25# campos que no conoce: no hay error, simplemente no está. Va ARRIBA, junto a `name` y `version`.
26#
27# ── LA REGLA DE HONESTIDAD: NO SE ADIVINA ───────────────────────────────────────────────────────
28# Declarar mal una licencia es PEOR que no declararla — convierte un hueco visible en una afirmación
29# falsa sobre la que alguien va a construir. Por eso este script no infiere de la URL ni del nombre.
30# Sólo puebla desde `docs/licencias-conocidas.tsv`, una tabla curada y auditable a mano, y desde los
31# ficheros COPYING/LICENSE de árboles de fuente realmente extraídos. Lo que no tiene evidencia se
32# queda vacío y SE CUENTA. Un hueco contado es deuda; un hueco rellenado a ojo es una mentira.
33#
34# ── EL ARREGLO ESTRUCTURAL, QUE ES OTRO TICKET ──────────────────────────────────────────────────
35# Poblar a mano tapa el agujero de hoy pero no impide que vuelva a abrirse: cada receta nueva nace
36# sin licencia. El cierre de verdad es capturarla donde ya pasa el dato gratis — takana YA descarga y
37# extrae cada tarball al construir, así que la fase de fetch puede guardar el COPYING/LICENSE del
38# árbol junto al artefacto, sin descargas extra. Y el texto de la licencia dentro del paquete conviene
39# inyectarlo en `takana pack`, NO en la fase install de la receta: pack es aguas abajo del
40# ArtifactHash, así que cumplir la GPL no cuesta reconstruir el corpus. Ver SDD 19.
41#
42# Uso:  scripts/licencias.sh                 informe de cobertura (default, no toca nada)
43#       scripts/licencias.sh --sembrar       escribe las licencias de la tabla curada
44#       scripts/licencias.sh --faltan        lista las recetas sin licencia, para trabajarlas
45set -uo pipefail
46ROOT="$(cd "$(dirname "$0")/.." && pwd)"; cd "$ROOT"
47TABLA="${TABLA:-docs/licencias-conocidas.tsv}"
48MODO="${1:-informe}"
49
50recetas() { ls recipes/*.toml recipes/incoming-*/*.toml 2>/dev/null; }
51
52# Un campo `license` de verdad: clave a principio de línea, ANTES del primer `[table]`.
53# (Ver arriba: después de un `[table]` la clave pertenece a la tabla y no la lee el parser.)
54tiene_licencia() {
55  awk '/^\[/{exit} /^[[:space:]]*license[[:space:]]*=/{print "si"; exit}' "$1" | grep -q si
56}
57
58licencia_de() {
59  awk -F'"' '/^\[/{exit} /^[[:space:]]*license[[:space:]]*=/{print $2; exit}' "$1"
60}
61
62case "$MODO" in
63# ── sembrar: escribir las licencias de la tabla curada ──────────────────────────────────────────
64--sembrar)
65  [ -s "$TABLA" ] || { echo "!!  falta la tabla curada: $TABLA"; exit 1; }
66  puestas=0; ya=0; sin_receta=0; corregidas=0
67  # TRES campos, no dos: `licencias-detectadas.tsv` añade una tercera columna con el `owner/repo`
68  # consultado (la procedencia, para poder auditar). Leyendo sólo dos variables, `lic` se tragaría
69  # también el slug y se escribiría `license = "MIT<TAB>owner/repo"` en la receta — basura silenciosa,
70  # porque nada valida el contenido. `_resto` la absorbe.
71  while IFS=$'\t' read -r pkg lic _resto; do
72    case "$pkg" in ''|'#'*) continue ;; esac
73    [ -n "${lic:-}" ] || continue
74    # ÚLTIMA BARRERA antes de tocar una receta: la licencia tiene que TENER FORMA de expresión SPDX.
75    # Sin esto, cualquier fallo de una fuente aguas arriba se escribe como si fuera un dato — y el
76    # 2026-08-07 pasó: un cuerpo de error JSON de la API de GitHub acabó dentro de 5 recetas, con
77    # comillas, rompiendo el TOML y dejando de calcularse su ArtifactHash. Validar en el sitio que
78    # ESCRIBE es lo que corta la clase entera de fallo, no sólo el caso conocido.
79    case "$lic" in
80      *[!A-Za-z0-9.+\ -]*) echo "  ??  $pkg: descarto licencia con forma inválida: $(printf '%.40s' "$lic")"; continue ;;
81    esac
82    hallada=0
83    for f in recipes/"$pkg".toml recipes/incoming-*/"$pkg".toml; do
84      [ -f "$f" ] || continue
85      hallada=1
86      if tiene_licencia "$f"; then
87        # FORZAR=1: reemplazar lo ya declarado. Sólo tiene sentido con una fuente MÁS autoritativa
88        # que la que puso el valor actual — el caso real es `licencias-cargo.tsv`, la declaración
89        # del propio autor, que corrige los dos defectos de la detección por API (SPDX ambiguo y
90        # licencias dobles colapsadas). Con la tabla curada NO se usa: pisaría a mano lo verificado.
91        if [ "${FORZAR:-0}" = 1 ] && [ "$(licencia_de "$f")" != "$lic" ]; then
92          esc=$(printf '%s' "$lic" | sed 's/[&/\]/\\&/g')
93          sed -i "0,/^[[:space:]]*license[[:space:]]*=.*/s//license = \"$esc\"/" "$f"
94          corregidas=$((corregidas+1))
95        else
96          ya=$((ya+1))
97        fi
98        continue
99      fi
100      # Insertar DESPUÉS de la línea `version = ...`, que está en la raíz del TOML y antes de
101      # cualquier `[table]`. Es el único sitio seguro (ver la trampa de TOML en la cabecera).
102      if grep -qE '^version[[:space:]]*=' "$f"; then
103        awk -v L="license = \"$lic\"" '
104          {print}
105          !done && /^version[[:space:]]*=/ {print L; done=1}
106        ' "$f" > "$f.tmp" && mv "$f.tmp" "$f"
107        puestas=$((puestas+1))
108      else
109        echo "  ??  $pkg: sin línea `version` en la raíz, no toco el fichero"
110      fi
111    done
112    [ "$hallada" = 0 ] && sin_receta=$((sin_receta+1))
113  done < "$TABLA"
114  echo "==> sembradas $puestas · corregidas $corregidas · ya tenían $ya · sin receta $sin_receta"
115  echo "==> verificá que el hash NO se movió:  ./scripts/store-gc.sh   (debe dar los mismos vigentes)"
116  ;;
117
118# ── faltan: la lista de trabajo ─────────────────────────────────────────────────────────────────
119--faltan)
120  recetas() { ls recipes/*.toml recipes/incoming-*/*.toml 2>/dev/null; }
121  for f in $(recetas); do tiene_licencia "$f" || basename "$f" .toml; done
122  ;;
123
124# ── revisar: las que están declaradas pero con un SPDX AMBIGUO ─────────────────────────────────
125# La detección por API de GitHub deja dos imprecisiones conocidas, y esto las hace contables en vez
126# de esconderlas:
127#
128#  1. SPDX OBSOLETOS Y AMBIGUOS. GitHub devuelve `GPL-3.0`, `GPL-2.0`, `LGPL-2.1`, `LGPL-3.0`,
129#     `AGPL-3.0` — identificadores que SPDX declaró obsoletos **precisamente porque son ambiguos**:
130#     no distinguen «sólo esta versión» (`-only`) de «esta o posterior» (`-or-later`), y esa
131#     diferencia tiene efectos legales reales sobre con qué se puede combinar el paquete.
132#     **NO se normalizan a ciegas**: mapear `GPL-3.0` → `GPL-3.0-or-later` sería inventar el dato que
133#     falta, que es justo lo que este fichero prohíbe. Se marcan para que un humano las resuelva
134#     mirando la cabecera del fuente.
135#
136#  2. LICENCIAS DOBLES COLAPSADAS. La API devuelve UNA licencia; muchos proyectos Rust son
137#     «MIT OR Apache-2.0» y sólo se recoge una de las dos (p.ej. `fd` quedó como Apache-2.0). No es
138#     falso —Apache-2.0 sí es una de las opciones concedidas, y cumplir una basta— pero es
139#     INCOMPLETO: pierde una opción que el autor otorgó. Se resuelve con el cierre estructural
140#     (leer el `license` del Cargo.toml en la fase de fetch), no a mano.
141--revisar)
142  n=0
143  for f in $(recetas); do
144    l=$(licencia_de "$f")
145    case "$l" in
146      GPL-[0-9]*|LGPL-[0-9]*|AGPL-[0-9]*)
147        case "$l" in *-only|*-or-later|*OR*|*AND*|*WITH*) ;; *) echo "$(basename "$f" .toml)	$l"; n=$((n+1));; esac ;;
148    esac
149  done
150  echo "==> $n recetas con SPDX ambiguo (falta -only / -or-later). Resolver mirando el fuente." >&2
151  ;;
152
153# ── informe (default) ───────────────────────────────────────────────────────────────────────────
154*)
155  tot=0; con=0
156  : > /tmp/.lic-cuenta.$$
157  for f in $(recetas); do
158    tot=$((tot+1))
159    if tiene_licencia "$f"; then con=$((con+1)); licencia_de "$f" >> /tmp/.lic-cuenta.$$; fi
160  done
161  pct=0; [ "$tot" -gt 0 ] && pct=$((con*100/tot))
162  echo "==> licencias declaradas: $con de $tot recetas (${pct}%)"
163
164  # ── GUARDIÁN: licencias con FORMA INVÁLIDA ───────────────────────────────────────────────────
165  # El 2026-08-07 se escribió el cuerpo de un error JSON de la API de GitHub dentro de 5 recetas
166  # (`license = "{"message":"Not Found",...}"`). Las comillas rompen el TOML ⇒ esas recetas dejaron
167  # de parsear y de tener ArtifactHash, y así se COMMITEARON. No lo vio nadie leyendo: lo cazó la
168  # comparación de hashes. Por eso el informe lo comprueba SIEMPRE y sale distinto de cero: un dato
169  # con forma imposible es un fallo aguas arriba disfrazado de dato, y hay que verlo sin buscarlo.
170  malas=0
171  for f in $(recetas); do
172    l=$(licencia_de "$f")
173    [ -z "$l" ] && continue
174    case "$l" in *[!A-Za-z0-9.+\ -]*) echo "!!  FORMA INVÁLIDA en $f: $(printf '%.50s' "$l")"; malas=$((malas+1));; esac
175  done
176  if [ "$malas" -gt 0 ]; then
177    echo "!!  $malas recetas con licencia de forma imposible — probablemente TOML roto. Arreglar YA."
178    exit 1
179  fi
180  if [ "$con" -gt 0 ]; then
181    echo "==> reparto:"
182    sort /tmp/.lic-cuenta.$$ | uniq -c | sort -rn | head -25 | sed 's/^/    /'
183  fi
184  rm -f /tmp/.lic-cuenta.$$
185  [ "$con" -lt "$tot" ] && echo "==> faltan $((tot-con)). Lista:  scripts/licencias.sh --faltan"
186  echo "==> recordá: NO se rellena a ojo. Sin evidencia, se deja vacío y se cuenta (ver cabecera)."
187  ;;
188esac