Licence třetích stran v aplikaci: seznam a zobrazení

1. Co vyžadují licence třetích stran

Licence třetí strany určuje, za jakých podmínek smíte cizí komponentu ve své aplikaci použít a šířit. Podmínky se liší podle typu licence, takže seznam komponent s licencemi je základ pro dodržení podmínek open source licencí (open source license compliance).

Rozdíly mezi MIT, Apache 2.0 a GPL podrobně popisuje článek o open source licencích. Pro seznam komponent stačí vědět, do kterého řádku tabulky licence spadá.

2. Jak sestavit seznam knihoven s licencemi

Seznam knihoven s licencemi sestavíte z projektového souboru, který vypisuje závislosti aplikace, například `package.json`, `pom.xml` nebo `Cargo.toml`. Ručně opisovat licence z repozitářů jednotlivých knihoven není potřeba.

1. 1

   Vložte projektový soubor do nástroje

   Otevřete kontrolu licencí npm a vložte nebo nahrajte `package.json`. Stejný postup nabízejí nástroje pro NuGet, Python, Composer, Rust, Go, Flutter, CocoaPods, Swift, Java a Android, všechny najdete mezi nástroji zdarma. Soubor se zpracuje přímo ve vašem prohlížeči.

2. 2

   Přidejte soubor s přesnými verzemi

   Z `package.json` se načtou přímé závislosti a jejich rozsahy verzí. Pokud k tomu nahrajete také soubor s uzamčenými verzemi, třeba `package-lock.json`, bude seznam obsahovat konkrétní verze, které opravdu instalujete.

3. 3

   Rozhodněte o vývojových závislostech

   Vývojové závislosti jsou ve výchozím stavu vynechané. Zaškrtněte je jen tehdy, když jejich kód patří do aplikace, kterou uživatelům dodáváte.

4. 4

   Projděte souhrn licencí a upozornění

   Nástroj spočítá závislosti, rozdělí licence na permisivní, copyleftové a neznámé a upozorní na balíčky k prověření. Začněte u neznámých a copyleftových licencí (sekce 6).

5. 5

   Exportujte výsledek

   Seznam si můžete stáhnout ve formátu CSV, Markdown nebo CycloneDX. Markdown soubor `THIRD-PARTY-LICENSES.md` slouží k uložení do repozitáře zdrojového kódu.

3. Co o každé komponentě zapsat

U každé komponenty zapište název, verzi, licenci, odkaz a kategorii. Licenci uvádějte identifikátorem ze seznamu SPDX, například `MIT`, `Apache-2.0` nebo `GPL-3.0-or-later`, protože ten jde jednoznačně porovnat i strojově.

4. Kde zobrazit licence třetích stran

Licence třetích stran zobrazte tam, kam má uživatel i podpora snadný přístup: v samotné aplikaci a na veřejné stránce o aplikaci. Soubor v repozitáři nestačí, protože k němu zákazník ani podpora běžně nemají přístup. Jak má vypadat obrazovka s licencemi v aplikaci, to popisuje článek o obrazovce O aplikaci.

V AboutTheApp seznam komponent udržujete v okně Komponenty a licence, které otevřete ikonou Komponenty na kartě aplikace. Tlačítko Import závislostí načte závislosti z projektového souboru a ukáže, které komponenty jsou nové, změněné a beze změny. Uložíte si jen ty, které chcete. Komponentu pak můžete doplnit nebo upravit ručně, včetně její kategorie a popisu.

Každá komponenta může být veřejná nebo neveřejná. Veřejné komponenty zobrazí About page v záložce Komponenty a licence i nepřihlášeným uživatelům. Přímo uvnitř aplikace je ukáže About box ve variantě Autoři a licence. Neveřejné komponenty uvidí jen členové týmu nebo ten, kdo zná odemykací kód.

5. Jak seznam licencí udržet aktuální

Seznam licencí zastará s každou novou závislostí nebo aktualizací knihovny. Po změně projektového souboru proto spusťte Import závislostí znovu: komponenty se stavem Změněná mají jinou verzi nebo licenci než dosud zapsaná, takže vidíte i to, že se licence knihovny změnila.

Pokud aplikaci vytváříte s AI asistentem, zapište si do zadání pravidlo, že asistent nepřidává knihovny bez vašeho souhlasu a kontroly licence. Kde pravidlo uvést, to ukazuje šablona PRD a obecný postup článek o aplikacích postavených s AI. Seznam komponent ve strojově čitelné podobě pro bezpečnostní a licenční nástroje vytvoříte v generátoru SBOM.

6. Na které licence si dát pozor

Největší pozornost vyžadují tři případy: copyleftová licence v uzavřené aplikaci, neznámá licence a komponenta bez licence. U GPL a AGPL musíte při šíření aplikace předat zdrojový kód odvozeného díla, takže ověřte, jestli komponenta opravdu patří do dodávané aplikace.

Neznámá licence znamená, že ji nástroj v registru nenašel nebo ji nedokázal rozpoznat. Otevřete repozitář komponenty a licenci dohledejte v souboru `LICENSE`. Komponenta bez licence smí podle dokumentace GitHubu kopírovat a šířit jen autor, takže se jí vyhněte, dokud autor licenci nedoplní.

Časté otázky