SPDXIdentifikatoren

SPDXIdentifikatoren sind standardisierte Kennungen, die im SPDX-Standard verwendet werden, um Lizenzen eindeutig zu benennen. Sie gehören zum SPDX License List und ermöglichen eine maschinenlesbare Beschreibung von Softwarekomponenten in SBOMs (Software Bill of Materials) und SPDX-Dokumenten.

Jeder lizenz hat eine eigene SPDX-ID, z. B. MIT, Apache-2.0, GPL-3.0-or-later, BSD-3-Clause, CC0-1.0. Die IDs stammen aus der offiziellen SPDX-Lizenzliste, die regelmäßig aktualisiert wird. Neue Lizenzen werden aufgenommen, bestehende können als veraltet markiert werden, mit Empfehlungen für Alternativen.

Verwendung: SPDX-Identifikatoren werden in SPDX-Dokumenten in Feldern wie licenseConcluded, licenseInfoFromFiles und in Lizenzausdrücken verwendet. Lizenzausdrücke können mit den Operatoren AND, OR und WITH kombiniert werden, um komplexe Lizenzbedingungen abzubilden.

Nicht in der Liste enthaltene Lizenzen werden durch interne Referenzen gekennzeichnet, sogenannte LicenseRef-IDs (z. B. LicenseRef-MyLicense). In SPDX-Ausdrücken verweist man dann auf diese Referenzen.

Verwaltung und Nutzen: Die SPDX-Lizenzliste wird von der SPDX Working Group unter dem Linux Foundation gepflegt. Die IDs sind stabil, Änderungen werden nachvollziehbar dokumentiert. Die Nutzung von SPDX-Identifikatoren erleichtert automatische Prüfung, Compliance-Analysen und den Austausch von SBOMs zwischen Organisationen.