sergio/takana

1#!/usr/bin/env bash
2# licencias-rootfs.sh — mete los textos de licencia en un rootfs y VETA el que no cumpla.
3#
4# ── EL PUNTO DE ENTREGA ES LA IMAGEN, NO EL PAQUETE ────────────────────────────────────────────
5# El canal de paquetes de takana no distribuye binarios: `pack` produce un `.swm` (receta de
6# transformación sobre fuente pública, «NUNCA transporta binarios cocidos») e `install` REPRODUCE
7# construyendo con cache-hit del corpus. Donde sí se le entrega un binario a alguien es en la
8# **imagen instalable**, cuyo rootfs se puebla con `takana install` sobre un prefix. Por eso la
9# obligación de acompañar-el-binario-con-su-licencia se cumple ACÁ. (El SDD 19/20 decía «inyectar en
10# `takana pack`»; era una lectura equivocada de por dónde salen los binarios.)
11#
12# ── LO QUE HACE ────────────────────────────────────────────────────────────────────────────────
13# Para cada paquete del rootfs escribe `/usr/share/licenses/<pkg>/`: el texto canónico de cada
14# licencia de su expresión SPDX (`MIT OR Apache-2.0` ⇒ los DOS textos, porque el destinatario elige)
15# y un `SPDX` con la expresión literal. Más un `MANIFEST.tsv` global: paquete → expresión.
16#
17# ── Y SOBRE TODO: ES UN VETO, NO UN ADORNO ─────────────────────────────────────────────────────
18# Sale ≠0 si algún paquete del rootfs NO declara licencia. Publicar una imagen con binarios cuya
19# licencia no conocemos es exactamente el riesgo que obliga a bajar una descarga ya publicada, y es
20# el tipo de cosa que nadie mira el día del anuncio si no falla sola. Un informe que no puede
21# bloquear no cambia lo que ocurre; por eso esto corta el paso.
22# `--informe` lo degrada a sólo mirar, para poder medir sin frenar un build en curso.
23#
24# Uso:  scripts/licencias-rootfs.sh <prefix> [pkg...]      (sin pkgs: los lee de stdin)
25#       scripts/licencias-rootfs.sh --informe <prefix> ...
26set -uo pipefail
27ROOT="$(cd "$(dirname "$0")/.." && pwd)"; cd "$ROOT"
28TEXTOS="${TEXTOS:-licenses}"
29
30SOLO_INFORME=0
31[ "${1:-}" = "--informe" ] && { SOLO_INFORME=1; shift; }
32PREFIX="${1:-}"; shift || true
33[ -n "$PREFIX" ] || { echo "uso: $0 [--informe] <prefix> [pkg...]"; exit 2; }
34[ -d "$TEXTOS" ] || { echo "!!  faltan los textos: $TEXTOS (correr scripts/licencias-textos.sh)"; exit 1; }
35
36# Los paquetes: por argumento, o por stdin, o —si no hay ninguno— los que el rootfs tenga bajo
37# /usr/bin, que es una aproximación pobre pero honesta y avisada.
38if [ "$#" -gt 0 ]; then printf '%s\n' "$@" > /tmp/.lic-pkgs
39elif [ ! -t 0 ]; then cat > /tmp/.lic-pkgs
40else echo "!!  sin lista de paquetes (pasala por argumento o stdin)"; exit 2; fi
41sort -u /tmp/.lic-pkgs | grep -v '^$' > /tmp/.lic-pkgs2 && mv /tmp/.lic-pkgs2 /tmp/.lic-pkgs
42
43# ⚠ SE RESUELVE POR EL CAMPO `name`, NO POR EL NOMBRE DE FICHERO (2026-09-09).
44# Antes esto hacía `ls recipes/$1.toml` y nada más, y el paquete se llama por su campo `name`, que
45# en 34 recetas del corpus NO coincide con el fichero (recipes/nu.toml → `nushell`, dust.toml →
46# `du-dust`, incoming-kde/qtbase.toml → `qt6-qtbase`…). Medido: **14 paquetes que SÍ declaran
47# licencia salían como «licencia desconocida»** y el guardián vetaba una imagen perfectamente
48# publicable. Un falso veto se nota; el hermano silencioso no: si el fichero <pkg>.toml existe pero
49# pertenece a OTRO paquete, la versión vieja reportaba la licencia EQUIVOCADA sin decir nada. Hoy no
50# pasa (medido: 0 casos), pero el índice por `name` lo hace imposible en vez de improbable.
51# El índice se arma UNA vez: 1128 recetas, no una por paquete.
52IDX=$(mktemp)
53for f in recipes/*.toml recipes/incoming-*/*.toml; do
54  [ -f "$f" ] || continue
55  awk -F'"' -v ARCH="$f" -v BASE="$(basename "$f" .toml)" '
56    /^\[/{exit}
57    /^[[:space:]]*name[[:space:]]*=/   {if(!n) n=$2}
58    /^[[:space:]]*license[[:space:]]*=/{if(!l) l=$2}
59    END{if(n) printf "%s\t%s\t%s\t%s\n", n, l, ARCH, BASE}' "$f"
60done > "$IDX"
61trap 'rm -f "$IDX"' EXIT
62# Precedencia: la receta canónica (recipes/*.toml) antes que una cola incoming-*, igual que antes.
63# Comprobado que no cambia nada hoy: de los 34 nombres duplicados, CERO declaran licencias distintas.
64# Se busca por `name` y, si no aparece, por nombre de FICHERO: los dos llamadores existen y usan
65# claves distintas — el grafo de estado nombra sus nodos por el fichero (`dust`) y el artefacto del
66# store por el campo `name` (`du-dust`). Resolver sólo por uno rompe al otro; medido en los dos
67# sentidos sobre el perfil base+cli y sobre el corpus entero.
68licencia_de_receta() {
69  lic=$(awk -F'\t' -v p="$1" '
70    $1==p && $2!="" {if ($3 !~ /^recipes\/incoming-/) {print $2; exit} else if (!c) c=$2}
71    END{if (c) print c}' "$IDX")
72  [ -n "$lic" ] || lic=$(awk -F'\t' -v p="$1" '
73    $4==p && $2!="" {if ($3 !~ /^recipes\/incoming-/) {print $2; exit} else if (!c) c=$2}
74    END{if (c) print c}' "$IDX")
75  [ -n "$lic" ] || return 1
76  printf '%s\n' "$lic"
77}
78
79DESTDIR="$PREFIX/usr/share/licenses"
80[ "$SOLO_INFORME" = 1 ] || mkdir -p "$DESTDIR"
81MAN="$DESTDIR/MANIFEST.tsv"
82[ "$SOLO_INFORME" = 1 ] || {
83  { echo "# paquete<TAB>expresión SPDX — generado por scripts/licencias-rootfs.sh"
84    echo "# El texto de cada licencia está en /usr/share/licenses/<paquete>/"; } > "$MAN"
85}
86
87con=0; sin=0; sinlista=""; sintexto=""
88while IFS= read -r pkg; do
89  lic=$(licencia_de_receta "$pkg" || true)
90  if [ -z "${lic:-}" ]; then sin=$((sin+1)); sinlista="$sinlista $pkg"; continue; fi
91  con=$((con+1))
92  [ "$SOLO_INFORME" = 1 ] && continue
93  d="$DESTDIR/$pkg"; mkdir -p "$d"; printf '%s\n' "$lic" > "$d/SPDX"
94  # Una expresión puede nombrar VARIAS licencias; se copian TODAS. En un `OR` el destinatario elige,
95  # así que entregar sólo una le quita una opción que el autor le concedió.
96  for id in $(printf '%s\n' "$lic" | tr ' ' '\n' | grep -E '^[A-Za-z0-9]' | grep -vE '^(OR|AND|WITH)$'); do
97    if [ -s "$TEXTOS/$id.txt" ]; then cp "$TEXTOS/$id.txt" "$d/$id.txt"
98    else case "$sintexto" in *" $id "*) ;; *) sintexto="$sintexto $id ";; esac; fi
99  done
100  printf '%s\t%s\n' "$pkg" "$lic" >> "$MAN"
101done < /tmp/.lic-pkgs
102
103tot=$((con+sin))
104echo "==> paquetes: $tot · con licencia $con · SIN licencia $sin"
105[ -n "$sintexto" ] && echo "!!  identificadores sin texto en $TEXTOS/:$sintexto"
106if [ "$sin" -gt 0 ]; then
107  echo "!!  ESTA IMAGEN NO SE PUEDE PUBLICAR: $sin paquetes con binarios y licencia desconocida."
108  echo "!!  $(printf '%s' "$sinlista" | cut -c1-300)"
109  [ "$SOLO_INFORME" = 1 ] || exit 1
110fi
111[ "$SOLO_INFORME" = 1 ] || echo "==> escrito $DESTDIR (manifiesto: MANIFEST.tsv)"