dsh-license-obligation-proof

Офлайн-детерминированное доказательство того, что каждый обязательный артефакт соответствия для решения о выпуске поставляемого компонента был доставлен: NOTICE, текст лицензии, предложение исходного кода, пакет исходного кода или уведомление об изменениях. Входные данные и отчёты содержат только хеши, коды обязательств и ограниченные метаданные — никогда не содержат тексты лицензий, тексты авторских прав, исходный код пакетов или секреты.

Это намеренно не ещё один сканер лицензий. dsh-license-guard уже сканирует node_modules, нормализует идентификаторы SPDX и применяет политику разрешения/запрета. Этот плагин начинает работу после сканирования и экспертной проверки: он проверяет, что объявленный набор компонентов, решения, обязательства, дайджесты доставленных артефактов, отдельные квитанции и свежее нулевое незакрытое замыкание согласованы. Он не сканирует пакеты, не нормализует SPDX, не интерпретирует лицензию и не предоставляет юридические консультации.

npm test
npm run check
node bin/dsh-license-obligation-proof.mjs verify examples/closed.json

Инструменты DSH: dsh_license_obligation_inspect и dsh_license_obligation_verify. MCP предоставляет эквивалентные встроенные инструменты, ориентированные только на доказательства. В отчётах явно сохраняются provesComponentSetExhaustive: false и provesLegalCompliance: false.

Ссылки: SPDX License Expressions и OpenChain ISO/IEC 5230.

Лицензия MIT.