Frage zur beigelegten Lizenz

[cech12]

Hallo,

ich habe gerade die neue Version 1.6.1 heruntergeladen und dabei ist mit aufgefallen, dass die standalone JAR nicht mehr in der ZIP liegt sondern im Release neben dem Package als zweiter Anhang exisitert.

Auf der Suche nach der Lizenz-Datei, habe ich die standalone JAR genauer angesehen. Im darin befindlichen META-INF Verzeichnis liegen zwei Lizenzdateien, in denen "All Rights Reserved" steht.

META-INF/License.md

META-INF/License.txt

Da es verschiedene Lizenzen sind und das Projekt eigentlich unter der Apache 2.0 Lizenz hier bei Github aufgeführt ist (die auf in der ZIP des Releases), habe ich mich gefragt, welche Lizenz nun für die standalone JAR zählt. Wenn dort Packages enthalten sind, die nicht kompatibel mit der Apache-Lizenz sind, wäre das eher kontraproduktiv. :)

Könnten Sie mich aufklären?

[rkottmann]

Danke für den Hinweis. Es gilt die Apache Lizenz.

Wir haben das Standalone rein aus pragmatischen Gründen aus dem Zip genommen. Und werden nun schauen, wie wir besser klar stellen, dass das gesamte Projekt mit allen Teilen unter die Apache Lizenz gestellt ist.

[phax]

Das passiert leider beim Ausführen des maven-shade-plugins, welches die Lizenzen der referenzierten JARs extrahiert. Wir müssen die Validator-Lizenz mit einem speziellen Dateinamen bereitstellen - dann sollte es erhalten bleiben

[nexus-penguin]

Hallo zusammen,

kurze Verständnis- und Rückfrage zu der hier angesprochenen standalone-JAR und den enthaltenen Lizenzdateien („All rights reserved“ in META-INF):

Habe ich es richtig verstanden, dass in der veröffentlichten standalone-JAR auch Drittkomponenten mitgeliefert werden, deren Lizenzlage nicht eindeutig Apache-2.0-kompatibel ist bzw. zumindest unklar erscheint?

Hintergrund meiner Frage ist, dass eine standalone-JAR aus meiner Sicht eine aktive Weiterverteilung der enthaltenen Libraries darstellt. Falls dort tatsächlich Artefakte mit restriktiver oder unklarer Lizenz enthalten sind, wäre das für nachnutzende Projekte (wie meines) potentiell problematisch.

Gibt es hierzu bereits eine geprüfte Übersicht, welche Drittkomponenten konkret in der standalone-JAR enthalten sind und unter welchen Lizenzen diese stehen?

Ich frage nicht aus Kritik am Projekt, sondern weil ich die standalone-Distribution selbst weiterverteile und sicherstellen möchte, dass dabei keine Lizenzprobleme entstehen.

[rkottmann]

Vielen Dank. Ein wichtiger Punkt. Wir werden schauen wie wir auch die Lizenzen Dritter transparenter darstellen.

[rkottmann]

Wir haben geprüft und NOTICE und LICENSE files besser gepackt.

Da die dependencies nur Apache, Eclipse, and MPL (aber wir haben nix geändert) und MIT Lizensen haben, dürfte es wahrsheinlich keine Probleme geben. Dies ist final durch jede anwendene Person zu entscheiden.

da hilft ggf.

mvn license:aggregate-download-licenses -Dlicense.excludeTransitiveDependencies=true -Dlicense.excludedScopes=test,provided

selbst ausuführen.

[rkottmann]

s. release 1.6.2

[svanteschubert]

Wir haben geprüft und NOTICE und LICENSE files besser gepackt.

Da die dependencies nur Apache, Eclipse, and MPL (aber wir haben nix geändert) und MIT Lizensen haben, dürfte es wahrsheinlich keine Probleme geben. Dies ist final durch jede anwendene Person zu entscheiden.

da hilft ggf.

mvn license:aggregate-download-licenses -Dlicense.excludeTransitiveDependencies=true -Dlicense.excludedScopes=test,provided

selbst ausuführen.

Funktioniert in der bash, aber unter der Powershell braucht man Anführungszeichen:

mvn license:aggregate-download-licenses -D"license.excludeTransitiveDependencies=true" -D"license.excludedScopes=test,provided"

Dann erscheinen die Lizensen unter
validator\target\generated-resources\licenses
bzw. werden aufgelistet unter
validator\target\generated-resources\licenses.xml

Tolle Funktion! Danke für Teilen!
(Habe damit es bei mir funktioniert einen JDK 25 Patch gespendet - läuft auch JDK 11+)