{
  "fixture": "license-mix",
  "category": "source",
  "input": {
    "kind": "source",
    "ref": "fixtures/license-mix"
  },
  "componentsComplete": false,
  "vulnComplete": false,
  "tools": [
    "scancode",
    "bomlens"
  ],
  "axes": [
    "license"
  ],
  "notes": "파일 단위 라이선스 정확성 전용. 소스 파일마다 다른 SPDX 라이선스(MIT, Apache-2.0, GPL-3.0-only, BSD-3-Clause, ISC)와 복합 표현(MIT OR Apache-2.0)을 둔다. scancode 가 파일 헤더의 SPDX 식별자를 정확히 검출하는지 측정한다(패키지 메타가 아닌 실제 파일 라이선스). scancode 어댑터는 검출 라이선스를 합성 컴포넌트 하나(pkg:generic/license-mix)에 모으므로, 정답도 그 컴포넌트에 라이선스 집합을 담는다. tools=[scancode], axes=[license] 로 파일 라이선스 축만 채점한다. 채점은 패밀리 일치이므로 복합의 MIT·Apache 는 각 라이선스로 본다. 정답 도출 절차: 각 소스 파일 헤더의 라이선스 표기를 사람이 직접 읽어 큐레이션한다(복합, 복사 라이선스 포함). fixture 파일이 불변이므로 재검증은 파일을 다시 읽는 것으로 충분하다(2026-07-03 확인).",
  "components": [
    {
      "purl": "pkg:generic/license-mix@1.0.0",
      "version": "1.0.0",
      "licenses": [
        "MIT",
        "Apache-2.0",
        "GPL-3.0-only",
        "BSD-3-Clause",
        "ISC"
      ],
      "scope": "direct"
    }
  ],
  "vulnerabilities": [],
  "fnReasons": [
    {
      "id": "pkg:generic/license-mix@1.0.0",
      "reason": "파일 헤더의 라이선스 표기를 직접 읽어야 하는 입력이다 — 패키지 메타데이터 기반 도구는 낼 수 없다",
      "axis": "license"
    }
  ]
}