{
  "fixture": "src-licenses",
  "category": "source",
  "input": {
    "kind": "source",
    "ref": "fixtures/src-licenses"
  },
  "tools": [
    "scancode",
    "bomlens"
  ],
  "axes": [
    "license"
  ],
  "notes": "파일 단위 라이선스 검출 fixture. 소스 파일마다 SPDX 식별자와 라이선스 문구를 두어, 파일을 직접 읽는 도구(ScanCode 등)의 라이선스 검출을 평가한다. 매니페스트 기반 도구는 적용 대상이 아니라 tools 로 한정. 하나의 합성 컴포넌트로 모델링해 검출된 SPDX 집합이 기대 집합을 포함하는지 본다. 정답 도출 절차: 각 소스 파일 헤더의 라이선스 표기(SPDX 식별자 또는 라이선스 전문)를 사람이 직접 읽어 큐레이션한다. fixture 파일이 불변이므로 재검증은 파일을 다시 읽는 것으로 충분하다(2026-07-03 확인).",
  "components": [
    {
      "purl": "pkg:generic/src-licenses@1.0.0",
      "version": "1.0.0",
      "licenses": [
        "Apache-2.0",
        "BSD-3-Clause",
        "GPL-3.0-only",
        "MIT"
      ],
      "scope": "direct"
    }
  ],
  "vulnerabilities": [],
  "fnReasons": [
    {
      "id": "pkg:generic/src-licenses@1.0.0",
      "reason": "파일 헤더의 라이선스 표기를 직접 읽어야 하는 입력이다 — 패키지 메타데이터 기반 도구는 낼 수 없다",
      "axis": "license"
    }
  ]
}