sergio/takana

1#!/usr/bin/env bash
2# licencias-detectar.sh — deriva la licencia de las recetas cuya fuente vive en GitHub,
3# preguntándole a GitHub por el fichero LICENSE REAL del repo. Complemento de `licencias.sh`.
4#
5# ── POR QUÉ ESTO NO VIOLA LA REGLA DE «NO SE ADIVINA» ───────────────────────────────────────────
6# `licencias.sh` prohíbe rellenar a ojo, y con razón: declarar mal una licencia convierte un hueco
7# visible en una afirmación falsa. Esto NO es adivinar. La API `/repos/{o}/{r}/license` devuelve el
8# resultado de **detectar el fichero LICENSE que el repo tiene de verdad** (GitHub usa licensee), no
9# una etiqueta que alguien escribió a mano en una web. Es la misma evidencia que miraríamos nosotros
10# abriendo el tarball, obtenida sin descargar 686 tarballs por un enlace de 8 Mbps.
11#
12# ── ⚠ LA LIMITACIÓN, QUE SE REGISTRA EN VEZ DE ESCONDERSE ───────────────────────────────────────
13# GitHub detecta sobre la **rama por defecto**, no sobre el tag/commit que la receta pinea. En la
14# enorme mayoría de proyectos es lo mismo, pero NO es una garantía: un proyecto pudo relicenciarse
15# después de la versión que empaquetamos. Por eso:
16#   · la salida va a un fichero APARTE (`docs/licencias-detectadas.tsv`) con procedencia y fecha,
17#     no directo a las recetas — se puede auditar y rehacer;
18#   · sólo se aceptan SPDX **definidos**: se descartan `NOASSERTION`, `null` y `other`, que es
19#     justamente GitHub diciendo «no estoy seguro». Un «no sé» de la fuente se propaga como hueco,
20#     no se redondea a una licencia plausible.
21# Si algún día hace falta exactitud a nivel de tag, el cierre correcto es el estructural: capturar
22# el COPYING/LICENSE en la fase de fetch, que ya descarga y extrae el tarball pineado.
23#
24# Uso:  scripts/licencias-detectar.sh            (escribe docs/licencias-detectadas.tsv)
25#       luego:  TABLA=docs/licencias-detectadas.tsv scripts/licencias.sh --sembrar
26set -uo pipefail
27ROOT="$(cd "$(dirname "$0")/.." && pwd)"; cd "$ROOT"
28SALIDA="${SALIDA:-docs/licencias-detectadas.tsv}"
29JOBS="${JOBS:-8}"
30
31command -v gh >/dev/null || { echo "!!  falta el CLI 'gh'"; exit 1; }
32gh auth status >/dev/null 2>&1 || { echo "!!  'gh' no está autenticado"; exit 1; }
33
34TMP=$(mktemp -d); trap 'rm -rf "$TMP"' EXIT
35
36# 1. Las que NO tienen licencia y cuya fuente es github.com → «nombre<TAB>owner/repo»
37./scripts/licencias.sh --faltan 2>/dev/null | while IFS= read -r n; do
38  f=$(ls "recipes/$n.toml" 2>/dev/null | head -1)
39  [ -z "$f" ] && f=$(ls recipes/incoming-*/"$n.toml" 2>/dev/null | head -1)
40  [ -z "$f" ] && continue
41  u=$(grep -m1 -E '^[[:space:]]*(tarball|repo)[[:space:]]*=' "$f" 2>/dev/null)
42  case "$u" in *github.com*) ;; *) continue ;; esac
43  # Sirve para https://github.com/o/r/... y para git@github.com:o/r.git
44  slug=$(printf '%s\n' "$u" | sed -E 's#.*github\.com[:/]+([^/"]+)/([^/"]+).*#\1/\2#; s/\.git$//')
45  case "$slug" in */*) printf '%s\t%s\n' "$n" "$slug" ;; esac
46done | sort -u > "$TMP/objetivos.tsv"
47
48TOT=$(wc -l < "$TMP/objetivos.tsv")
49echo "==> a consultar: $TOT recetas con fuente en GitHub"
50
51# 2. Preguntar a GitHub. Sólo SPDX definidos.
52export TMP
53xargs -P "$JOBS" -I{} sh -c '
54  n=$(printf "%s" "{}" | cut -f1); slug=$(printf "%s" "{}" | cut -f2)
55  lic=$(gh api "repos/$slug/license" --jq ".license.spdx_id" 2>/dev/null)
56  # ⚠ VALIDAR LA FORMA, NO SÓLO LOS «NO SÉ» CONOCIDOS. Cuando el repo da 404 (renombrado, borrado,
57  # privado), `gh api` escribe el CUERPO DEL ERROR JSON en stdout y el filtro --jq falla ⇒ `lic`
58  # queda valiendo `{"message":"Not Found",...}`. Filtrando sólo ""/null/NOASSERTION/other, ese JSON
59  # pasaba como si fuera una licencia y se escribía en la receta: comillas incluidas, lo que además
60  # ROMPE el TOML y hace que el ArtifactHash deje de calcularse. Pasó de verdad en 5 recetas el
61  # 2026-08-07 y lo cazó la verificación de hashes, no la vista.
62  # ⇒ Regla: aceptar sólo lo que TIENE FORMA de expresión SPDX (letras, dígitos, . - + y los
63  # operadores OR/AND/WITH). Todo lo demás es un fallo disfrazado de dato.
64  case "$lic" in
65    ""|null|NOASSERTION|other) printf "%s\t%s\n" "$n" "$slug" >> "$TMP/sin.tsv" ;;
66    *[!A-Za-z0-9.+\ -]*)       printf "%s\t%s\n" "$n" "$slug" >> "$TMP/sin.tsv" ;;
67    *) printf "%s\t%s\t%s\n" "$n" "$lic" "$slug" >> "$TMP/con.tsv" ;;
68  esac
69' < "$TMP/objetivos.tsv"
70
71CON=$(wc -l < "$TMP/con.tsv" 2>/dev/null || echo 0)
72SIN=$(wc -l < "$TMP/sin.tsv" 2>/dev/null || echo 0)
73
74{
75  echo "# licencias-detectadas.tsv — GENERADO por scripts/licencias-detectar.sh. No editar a mano."
76  echo "#"
77  echo "# Procedencia: API de GitHub /repos/{owner}/{repo}/license, que detecta el fichero LICENSE"
78  echo "# REAL del repositorio (licensee). Es evidencia, no una etiqueta escrita a mano."
79  echo "#"
80  echo "# ⚠ LIMITACIÓN REGISTRADA: la detección es sobre la RAMA POR DEFECTO, no sobre el tag que la"
81  echo "# receta pinea. Casi siempre coinciden, pero un proyecto pudo relicenciarse después de la"
82  echo "# versión que empaquetamos. Los SPDX indefinidos (NOASSERTION/other/vacío) se DESCARTAN: un"
83  echo "# «no sé» de la fuente se propaga como hueco, no se redondea a una licencia plausible."
84  echo "#"
85  echo "# Formato: <receta><TAB><SPDX><TAB><owner/repo consultado>"
86  echo "# Consultadas $TOT · con SPDX definido $CON · sin SPDX utilizable $SIN"
87  sort "$TMP/con.tsv" 2>/dev/null
88} > "$SALIDA"
89
90echo "==> con SPDX definido: $CON · descartadas por indefinido: $SIN"
91echo "==> escrito: $SALIDA"
92echo "==> sembrar con:  TABLA=$SALIDA ./scripts/licencias.sh --sembrar"