Intervista con A. Cord-Landwehr sull'utilizzo di REUSE in KDE community

Cord-Landwehr: Durante la nostra annuale conferenza di KDE nel 2019, abbiamo tenuto un workshop per pianificare la prossima release delle nostre librerie, normalmente chiamate KDE Framework. Durante questa sessione abbiamo discusso di come migliorare la consistenza delle nostre licenze introducendo gli identificatori SPDX, un elemento base delle pratiche ottimali REUSE. Il nostro obiettivo era di introdurre degli strumenti automatici che aiutassero ad assicurare la qualità delle informazioni sulle licenze. Questo è abbastanza importante in KDE, perché abbiamo un lungo passato e ci sono addirittura file nel nostro codice di base che sono più vecchi di alcune persone che contribuiscono al progetto. Questi file potrebbero quindi aver visto molte modifiche e diverse versioni di licenza negli anni.

«Da fuori, potrebbe sembrare che il processo di decidere e implementare qualcosa come REUSE possa essere tedioso in una grande comunità. Ma in realtà è stato abbastanza semplice».

Da fuori, potrebbe sembrare che il processo di decidere e implementare qualcosa come REUSE possa essere tedioso in una grande comunità. Ma in realtà è stato abbastanza semplice: come punto di partenza ho inviato una proposta via mail alla lista della nostra comunità, giusto per iniziare la discussione. Sono venuto quindi a conoscenza dell'iniziativa REUSE per la prima volta da una risposta alla mail. Avendo avuto un riscontro abbastanza positivo, la discussione è sfociata nella proposta di cambiare le nostre politiche di licenza con l'obiettivo di renderle compatibili con REUSE. Questa proposta è stata avvallata con un post che spiega il contesto e le ragioni del perché è stato deciso di seguire REUSE.

La discussione si è quindi velocemente spostata verso "ok, facciamolo", è quindi l'abbiamo implementato, ovviamente dopo un certo tempo di decantazione per assicurarsi che tutti fossero informati del cambiamento.

I framework KDE sono un insieme di librerie basate su Qt. Molte di queste librerie forniscono funzionalità utili, come una libreria per gestire i file di archivio tipo zip, una libreria per la generazione dei barcode, un framework di interfaccia utente per il touch screen, eccetera. E ci sono anche quelle che aiutano a rendere il software KDE più consistente ed integrato. Come tale, i nostri framework KDE sono un prodotto a sé stante, e specialmente il primo gruppo di librerie è utilizzato in molti progetti e attività basate su Qt. Per questi "clienti" dei nostri framework, è molto importante avere una chiara dichiarazione della licenza e un modo per assicurare che la dichiarazione sia corretta.

Abbiamo molte librerie che contengono codice proveniente da svariate decadi di sviluppo e originariamente potrebbe anche essere stato parte di un'altra libreria. Per essere sicuri di avere prodotti distribuibili, abbiamo una politica delle licenze che si focalizza sulla mobilità del codice sorgente all'interno del nostro codice di base. Può comunque capitare di fare errori e spendiamo diverso tempo sia nel controllo manuale della consistenza delle licenze sia per cambiare ogni file al fine di ottenere la desiderata licenza per la libreria o l'applicazione. Per me, semplificare e migliorare questo processo utilizzando strumenti e controlli automatici è stato un obiettivo fondamentale.

Negli anni ho visto altri approcci per standardizzare il processo delle licenze, ma alla fine per me ci sono due funzionalità vincenti in REUSE. Primo, anche strumenti o script semplici sono sufficienti per controllare la conformità a REUSE e per estrarre le dichiarazioni di licenza, che è importante perché ti permette di creare degli strumenti personalizzati che si adattano alle esigenze del tuo progetto. Secondo, REUSE si focalizza nell'essere semplice da utilizzare per gli sviluppatori. In una grande comunità quale è KDE, ci sono spesso nuovi arrivati o chi contribuisce una tantum, e REUSE aiuta molto nell'impostare con semplicità le licenze in modo corretto e consistente.

Lo strumenti principale che abbiamo utilizzato per la conversione è licensedigger. È un strumento che abbiamo sviluppato internamente con il solo scopo di convertire le intestazioni tradizionali delle licenze - con tutte le loro bizzarre e fantasiose diverse dichiarazioni - alle ben strutturate intestazioni di licenza compatibili con REUSE. È anche servito per la conversione iniziale del repository del codice, nel quale è stato necessario aggiungere i file di testo delle licenze e fare un resoconto delle licenze utilizzate. Per la conversione abbiamo utilizzato uno strumento dedicato perché abbiamo voluto imporre un meccanismo di rilevamento della licenza molto stringente, e questo ci ha permesso di focalizzarci nell'analisi dei testi di licenza aggiunti dello strumento anziché verificare ogni singola intestazione di licenza che veniva sostituita. Appena tutto il repository è stato convertito per essere conforme a REUSE, siamo passati al REUSE tool per assicurarci una conformità di qualità.

Un altro strumento, ancora in sviluppo, è un plugin del sistema CMake che ho creato per far lavorare il REUSE tool insieme alle informazioni del sistema di compilazione, in particolare quale file sorgente è compilato per quale libreria o programma. Questo permette di creare i controlli di consistenza delle licenze come semplici unità di test, che allertano lo sviluppatore se vengono accidentalmente combinate licenze incompatibili.

Il codice dei nostri programmi costituisce una grande e sostanziosa parte che deve essere ancora convertita per diventare conforme a REUSE. Ma la stiamo portando avanti! E sono estremamente contento che questo lavoro arrivi da molte persone diverse e non da una singola persona. Ci credi o no, nel mondo ci sono cose più belle che fare o verificare tutto il giorno le conversioni delle dichiarazioni delle licenze :-)

Fino ad ora abbiamo discusso principalmente delle licenze interne. Ma penso che per linguaggi compilati come C++ è importante anche tener conto dei binari generati e delle licenze con cui vengono distribuiti. Questa è un'attività che molte distribuzioni hanno gestito negli anni con strumenti di controllo delle licenze personalizzati e un'enorme ammontare di verifiche manuali, per assicurarsi che le licenze del codice sorgente siano compatibili con le licenze di distribuzione.

Credo che sia possibile trovare un modo che dichiari le licenze di distribuzione in maniera standard, che renda queste dichiarazioni riutilizzabili per gli utenti del prodotto binario. Questo permetterebbe una nuova completa dimensione del controllo automatico di compatibilità delle licenze.