Wie mit toten Open-Source-Abhängigkeiten umgehen?

Question

Ich versuche, ein Projekt prep für Open-Source-Version und habe auf ein Problem stoßen ... Dieses Projekt ist abhängig von einer Reihe von Open-Source-Komponenten, die ich gerade gespeichert habe als JAR-Dateien in meinem lib miteinander ausgehen. Einige von ihnen stammen aus einem paar Jahren, und zumindest von ihnen sind von einem Open-Source-Projekt, deren Website verschwunden ist und deren Quelle ich nicht in der Lage, eine Kopie (die Radeox Bibliothek) zu finden.

Mein Dilemma ist, dass ich weiß nicht, wie mein Projekt zu verpacken, wenn ich es loslassen ... ich soll nicht die JAR-Datei ohne Quelle enthalten, weil das die Bedingungen der Lizenz verstoßen würde, unter denen ich den Code verwendet ich, aber ich glaube nicht, dass diese JAR-Datei leicht auffindbar ist, damit ich auch keine Readme haben will, der sagt „diese JAR, viel Glück finden!“.

Was ist die beste Praxis in diesem Fall? (Anders als „halten die Quelle aller JAR-Dateien Sie von nun an importieren!) Und in zweiter Linie, weiß jemand, wo ich die Quelle für diese Bibliothek finden kann?

Danke!

Answer 1

Unser Ansatz war, um sicherzustellen, dass wir die Quelle erwerben, wenn wir die Binärdateien erwerben. Dann genau der Grund, warum Sie zitieren, wir archivieren permanent alle unsere Fremdabhängigkeiten vor Ort. Es ist ein bisschen nervig, da ein Dritte Bibliothek zu verwenden ein wenig komplexer als nur das Herunterladen den Tarball ist und gehen, aber es bedeutet, dass, wenn eine Bibliothek veraltet ist, können wir unsere Kunden auch weiterhin beiden Verpflichtungen und unsere legalen treffen .

Wohlgemerkt, halten wir Software, die fast 15 Jahre alt ist an dieser Stelle, und einige unserer Pakete von Drittanbietern predate die beliebte Web, so dass unsere Lösung Overkill für Sie sein könnte.

Es gibt noch andere Vorteile, auch; wir hatten einige dieser Produkte patchen Fehler zu beheben oder neue Funktionen, die Upstream-Maintainer nicht in der Lage oder nicht willens gewesen hinzuzufügen, aber dass wir brauchten, und das fügt sich nahtlos in dieses Verfahren.

Answer 2

Wenn die Lizenz sagt, dass Sie die Quelle schließen haben, dann haben Sie die Quelle umfassen.

Versuchen Sie, die ursprünglichen Autoren wenden. Vielleicht dieser Ohloo Link helfen. Wenn Sie sie nicht erreichen können, vielleicht können Sie eine Kopie der Quelle aus einem anderen Projekt erhalten, das die Bibliothek nutzt. Als letztes Mittel könnte man a href versuchen <= "http://google.com/search?q=site:www.radeox.org%20%22package+org.radeox%22%20filetype:java" rel = "nofollow noreferrer "> Google-Cache oder archive.org.

Answer 3

Update: Bingo !!

Hier ist die Radeox Subversion-Repository . Navigieren Sie nach unten zu http://svn.codehaus.org/ radeox / main / trunk / src / java / org / radeox / für den Quellcode.

Früher ...

Sieht aus wie Stephan Schmidt, der Autor, derzeit einen Blog unter http://www.codemonkeyism.com . Seine Kontaktinformationen, einschließlich E-Mail ist hier , und ein Eintrag von August 2007 sprach über das Projekt gabeln über Reposita.org (das scheint nicht auf noch zu sein). Sein Präsentationen rel="nofollow setzt ihn auf ImobilienScout24 im letzten Jahr.

Ich bin sicher, dass Sie auf die Gefahren abgestimmt sind auf einem toten, nicht betreut Projekt abhängig. Wir gespült nur unsere Software von mehreren solcher Abhängigkeiten und schlafen viel besser. Dazu gehörten Achse 1.4 für SOAP Web Service (verlassen mit schwerem Threading Bugs im Jahr 2005), ersetzt durch Vanille Java-Logik; der kxml Parser (auch im Jahr 2005 aufgegeben), durch JAXP ersetzt; und ein No-Name-HTTP-Client (so verlassen wir nicht einmal die alte Quelle finden konnte), ersetzt durch Apache HTTP-Client. Radeox klingt wie ein schwieriger Fall aber.

Get Rechtsberatung und eine anstrengende Anstrengungen, um die Quelle und / oder Stephan zu finden, alles zu dokumentieren Sie tun. Das könnte genug Due Dilligence sein, damit Sie Binärdateien verteilen, während Sie auf einer Ersetzungsstrategie arbeiten.