SPDXLizenzliste

SPDXLizenzliste is eine standardisierte Liste von Lizenzen und Lizenz-Ausnahmen, die im Rahmen des SPDX-Projekts verwendet wird. SPDX, Software Package Data Exchange, ist ein Rahmenwerk zur automatischen Erfassung von Software-BOMs (Bill of Materials) und zur Verbesserung der Lizenztransparenz. Die Lizenzliste enthält eindeutige Bezeichner (Lizenz-IDs) für verbreitete Open-Source-Lizenzen sowie IDs für zugehörige Ausnahmen. Zusätzlich unterstützt sie Lizenz-Expressions, mit denen sich Lizenzen durch Operatoren wie AND, OR und WITH kombinieren lassen, wobei WITH eine Lizenz mit einer Ausnahme verbindet (z. B. MIT OR Apache-2.0 WITH Classpath-exception-2.0). Zu jeder Lizenz-ID werden der volle Name, alternative Bezeichnungen und Verweise auf den entsprechenden Lizenztext angeboten.

Die SPDXLizenzliste dient dazu, Missverständnisse bei der Kennzeichnung von Lizenzen in Softwarekatalogen, Open-Source-Compliance-Tools und Software-BOMs zu vermeiden. Sie erleichtert automatisierte Checks, Audits und den Austausch von Lizenzinformationen über Systeme hinweg. Die Daten der Liste werden in maschinenlesbaren Formaten bereitgestellt, darunter JSON, RDF, YAML und CSV, und sind über das SPDX-Projekt bzw. das zugehörige Lizenzlisten-Datenrepository verfügbar. Die Liste wird regelmäßig aktualisiert und weiterentwickelt.

Die Pflege erfolgt durch eine SPDX-Arbeitsgruppe im Rahmen der Linux Foundation, mit Beiträgen aus der Open-Source-Gemeinschaft. Die SPDXLizenzliste ist damit ein zentraler Baustein der Lizenzverwaltung in modernen Software-Lieferketten und wird von vielen Werkzeugen und Prozessen genutzt.