Перейти к содержимому
SafePass

Уведомления о сторонних компонентах

Английский список слов BIP-39

Файл packages/crypto_core/src/bip39_english.txt содержит список из репозитория Bitcoin BIPs. Для BIP-0039 действует лицензия MIT. Оригинал списка. Текст BIP и список включены в репозиторий, чтобы офлайн-клиенты использовали одинаковые индексы слов.

Реализация OPAQUE

В packages/crypto_core используется opaque-ke 4.0.1 для RFC 9807. Библиотека распространяется по Apache-2.0 или MIT. Транзитивные зависимости Rust и их лицензии перечислены в Cargo.lock. Их должны включать SBOM и проверка лицензий релиза.

Аудит лицензий зависимостей

После установки закреплённых версий Rust, Flutter и .NET выполните bash scripts/audit-licenses.sh из любого каталога. Скрипт получает метаданные Cargo, восстанавливает пакеты Dart и NuGet по lock-файлам и пишет .artifacts/supply-chain/license-report.csv. Для npm читается package-lock.json, поэтому запуск скриптов npm-пакетов не нужен. Команда выполняется локально и не зависит от GitHub Actions.

Проверки политики запускаются командой python3 -m unittest discover -s scripts/tests -p 'test_check_license_policy.py'. scripts/verify-local.sh выполняет и тесты политики, и полный аудит.

Инвентаризация охватывает реестровые зависимости из Cargo.lock, package-lock.json, apps/flutter_client/pubspec.lock и файлов .NET packages.lock.json. Собственные workspace-ссылки и локальные пакеты исключаются из сторонней политики. Flutter/Dart SDK в pub lock относится к инструментам. Уведомления SDK входят в распространяемые платформенные сборки отдельно.

Выражения лицензий разбираются по закреплённому снимку SPDX License List 3.29.0 в scripts/data/spdx-license-identifiers.json. Разрешены 0BSD, Apache-2.0, BSD-1/2/3-Clause, BSL-1.0, CC0-1.0, ISC, MIT, MPL-2.0, PostgreSQL, Unicode-3.0, Unicode-DFS-2016, Unlicense и Zlib. В выражении OR достаточно одного разрешённого варианта. В AND допустимыми должны быть все стороны. По умолчанию исключения SPDX не разрешены. MPL-2.0 допускается с соблюдением copyleft на уровне файлов: сохраняйте уведомления и публикуйте изменения SafePass в файлах под MPL.

Неизвестная, отсутствующая, некорректная или запрещённая лицензия приводит к отказу аудита. Распознавание текста ограничено файлами LICENSE и COPYING. Когда определить лицензию нельзя, отчёт показывает UNKNOWN. Исключение для пакета должно назвать экосистему, пакет и точную версию в scripts/license-overrides.json, указать стабильный источник и обосновать решение. Для NuGet xunit.abstractions 2.0.3 используется ссылка из nuspec и условия Apache-2.0 и MIT из проверенного файла лицензии xUnit v2.4.1.

Инструменты сборки за пределами политики можно внести в scripts/license-build-tool-exceptions.json, только если их код и данные не попадают в распространяемый артефакт. Запись указывает пакет, проверенное выражение и причину. Отчёт помечает его excepted и считает отдельно. Другое выражение, новый пакет или неизвестная лицензия всё равно приводят к отказу. Текущие исключения — двоичные файлы sharp/libvips (LGPL-3.0-or-later) и caniuse-lite (CC-BY-4.0), закреплённые для сборки Next.js. Экспорт статический, изображения без оптимизации, поэтому sharp не загружается, а оба пакета отсутствуют в apps/website/out.

CSV служит инвентаризацией выражений. При распространении нужно приложить полные тексты лицензий и уведомления, в том числе набор, сгенерированный закреплённым Flutter SDK.

Снимок взят из официального списка SPDX. Обновляйте его вместе с политикой, если в зависимостях появляются идентификаторы новее 3.29.0.

Шрифты сайта

Статический экспорт apps/website/out включает два семейства. next/font загружает их из Google Fonts при сборке, затем их раздаёт сам сайт.

Оба семейства распространяются по SIL Open Font License 1.1. Файлы распространяются в том виде, в каком их выдаёт Google Fonts, с отдельными наборами латиницы и кириллицы. SafePass не меняет глифы и имена. OFL применяется к шрифтам. Ниже приведён оригинальный текст лицензии.

SIL OPEN FONT LICENSE Version 1.1 - 26 February 2007
-----------------------------------------------------------
 
PREAMBLE
The goals of the Open Font License (OFL) are to stimulate worldwide
development of collaborative font projects, to support the font creation
efforts of academic and linguistic communities, and to provide a free and
open framework in which fonts may be shared and improved in partnership
with others.
 
The OFL allows the licensed fonts to be used, studied, modified and
redistributed freely as long as they are not sold by themselves. The
fonts, including any derivative works, can be bundled, embedded,
redistributed and/or sold with any software provided that any reserved
names are not used by derivative works. The fonts and derivatives,
however, cannot be released under any other type of license. The
requirement for fonts to remain under this license does not apply
to any document created using the fonts or their derivatives.
 
DEFINITIONS
"Font Software" refers to the set of files released by the Copyright
Holder(s) under this license and clearly marked as such. This may
include source files, build scripts and documentation.
 
"Reserved Font Name" refers to any names specified as such after the
copyright statement(s).
 
"Original Version" refers to the collection of Font Software components as
distributed by the Copyright Holder(s).
 
"Modified Version" refers to any derivative made by adding to, deleting,
or substituting -- in part or in whole -- any of the components of the
Original Version, by changing formats or by porting the Font Software to a
new environment.
 
"Author" refers to any designer, engineer, programmer, technical
writer or other person who contributed to the Font Software.
 
PERMISSION & CONDITIONS
Permission is hereby granted, free of charge, to any person obtaining
a copy of the Font Software, to use, study, copy, merge, embed, modify,
redistribute, and sell modified and unmodified copies of the Font
Software, subject to the following conditions:
 
1) Neither the Font Software nor any of its individual components,
in Original or Modified Versions, may be sold by itself.
 
2) Original or Modified Versions of the Font Software may be bundled,
redistributed and/or sold with any software, provided that each copy
contains the above copyright notice and this license. These can be
included either as stand-alone text files, human-readable headers or
in the appropriate machine-readable metadata fields within text or
binary files as long as those fields can be easily viewed by the user.
 
3) No Modified Version of the Font Software may use the Reserved Font
Name(s) unless explicit written permission is granted by the corresponding
Copyright Holder. This restriction only applies to the primary font name as
presented to the users.
 
4) The name(s) of the Copyright Holder(s) or the Author(s) of the Font
Software shall not be used to promote, endorse or advertise any
Modified Version, except to acknowledge the contribution(s) of the
Copyright Holder(s) and the Author(s) or with their explicit written
permission.
 
5) The Font Software, modified or unmodified, in part or in whole,
must be distributed entirely under this license, and must not be
distributed under any other license. The requirement for fonts to
remain under this license does not apply to any document created
using the Font Software.
 
TERMINATION
This license becomes null and void if any of the above conditions are
not met.
 
DISCLAIMER
THE FONT SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND,
EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTIES OF
MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT
OF COPYRIGHT, PATENT, TRADEMARK, OR OTHER RIGHT. IN NO EVENT SHALL THE
COPYRIGHT HOLDER BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY,
INCLUDING ANY GENERAL, SPECIAL, INDIRECT, INCIDENTAL, OR CONSEQUENTIAL
DAMAGES, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING
FROM, OUT OF THE USE OR INABILITY TO USE THE FONT SOFTWARE OR FROM
OTHER DEALINGS IN THE FONT SOFTWARE.
Документация