docs(license): add LICENSE.md, audit third-party licenses (Python/native/tauri), flag pedalboard GPL-3.0

2026-08-16 21:08:13 +07:00
parent 4f6e2bc049
commit e2c0564982
2 changed files with 139 additions and 5 deletions
@@ -1,6 +1,7 @@
 # THIRD-PARTY LICENSES — SonicForgeStudio

-Kiểm tra ngày 2026-08-07. Danh sách thành phần bên thứ ba + license.
+Kiểm tra ngày 2026-08-15 (verify từ PyPI/GitHub/LICENSE.txt trong wheel).
+Danh sách thành phần bên thứ ba + license. Bản tổng hợp: `LICENSE.md`.

 ## 1. Dependencies (npm — package.json)
 | Thành phần | License | Ghi chú |
@@ -8,6 +9,35 @@ Kiểm tra ngày 2026-08-07. Danh sách thành phần bên thứ ba + license.
 | react / react-dom 19.x | MIT | OK |
 | @babel/cli, @babel/core, @babel/preset-react | MIT | Chỉ build-time |
 | jsdom | MIT | Chỉ build-time/test |
+| @tauri-apps/cli 2.x | Apache-2.0 OR MIT | Desktop shell (src-tauri) — build-time |
+
+## 1b. Dependencies (Python — requirements.txt)
+| Thành phần | License | Ghi chú |
+|---|---|---|
+| fastapi | MIT | OK |
+| uvicorn | BSD-3-Clause | OK |
+| celery | BSD-3-Clause | OK |
+| redis | MIT | OK |
+| python-multipart | Apache-2.0 | OK |
+| librosa | ISC | OK |
+| pydub | MIT | OK |
+| numpy | BSD-3-Clause (kèm 0BSD, MIT, Zlib, CC0-1.0) | OK |
+| scipy | BSD-3-Clause (kèm OpenBLAS BSD-3, GCC runtime GPL-3.0-with-exception) | OK — exception cho phép dùng |
+| soundfile | BSD-3-Clause | OK (libsndfile core là LGPL-2.1+) |
+| jinja2 | BSD-3-Clause | OK |
+| httpx | BSD-3-Clause | OK |
+| jsonschema | MIT | OK |
+| mido | MIT | OK |
+| pyfluidsynth | MIT (wrapper) | OK — link FluidSynth LGPL-2.1+ |
+| sf2utils 1.0.0 | **LGPL-3.0+** | ⚠️ LICENSE.txt trong wheel là LGPLv3 (metadata PyPI ghi nhầm "GPLv3+"). Dùng runtime `soundfont_inspector.py` — giữ notice + relinkable khi phân phối binary |
+| pedalboard 0.9.19 | **GPL-3.0** | ⚠️ RỦI RO — dùng runtime render VST3 (render_engine/vst_engine/plugins). Copyleft mạnh → tách subprocess hoặc thay thế trước khi phân phối server |
+
+## 1c. Native bridge (native_bridge/, C++)
+| Thành phần | License | Ghi chú |
+|---|---|---|
+| fluidsynth (vcpkg) | LGPL-2.1+ | Link tĩnh qua vcpkg — bắt buộc notice + relinkable object |
+| vst3sdk (git submodule) | MIT | © 2026 Steinberg Media Technologies GmbH — tương thích MIT project |
+| vestige (dự kiến cho VST2) | mã nguồn mở | Chưa thêm vào repo — xác nhận license gốc khi implement |

 ## 2. Thư viện nhúng (app/static)
 | File | Nguồn | License | Trạng thái |
@@ -31,7 +61,9 @@ Kiểm tra ngày 2026-08-07. Danh sách thành phần bên thứ ba + license.

 ## KẾT LUẬN
 - **Không phát hiện vi phạm bản quyền rõ ràng** (không có code GPL bị nhúng vào project MIT; LGPL của FluidSynth tương thích nếu giữ notice).
- **3 điểm cần xử lý trước khi phân phối công khai:**
-  1. Bổ sung `LICENSE` text (MIT + LGPL-2.1) + attribution cho SpessaSynth (MIT notice) và Tailwind.
-  2. Ghi attribution SF2 Rich Nagel ("General MIDI SoundFont v3.0 — © 2006-2010 Rich 'Weeds' Nagel — Some rights reserved") hoặc thay soundfont khác license rõ.
-  3. Không nhúng SGM-V2.01 vào bản phân phối (hạn chế redistribution).
+- **Cần xử lý trước khi phân phối công khai:**
+  1. **pedalboard (GPL-3.0)** — dependency runtime server render VST3 → rủi ro copyleft cao nhất. Tách subprocess/plugin hoặc thay thế.
+  2. **sf2utils (LGPL-3.0+)** — giữ notice + relinkable object khi phân phối binary.
+  3. Bổ sung `LICENSE` text (MIT + LGPL-2.1) + attribution cho SpessaSynth (MIT notice) và Tailwind.
+  4. Ghi attribution SF2 Rich Nagel ("General MIDI SoundFont v3.0 — © 2006-2010 Rich 'Weeds' Nagel — Some rights reserved") hoặc thay soundfont khác license rõ.
+  5. Không nhúng SGM-V2.01 vào bản phân phối (hạn chế redistribution).