16 · License Audit

目标：发布前确认代码、文档、引用与依赖的许可边界。不构成法律意见。

16.1 本项目许可

内容	许可
代码（crates/、scripts/、apps/netbook/src/*.ts/svelte/astro）	MIT OR Apache-2.0（二选一）
文档/课程/图（docs/、specs/、README、CHANGELOG）	CC BY 4.0
规范文本（specs/）	CC BY 4.0（鼓励实现）
第三方引用	仅引用/链接，不 vendor

文件：LICENSE、LICENSE-MIT、LICENSE-APACHE、LICENSE-CC-BY-4.0。 Cargo.toml workspace license = MIT OR Apache-2.0；netbook package.json 同。

项目	许可	我们是否复制代码	备注
HVM / HVM3	MIT	否	只借鉴内存布局/原子链接思想
HVM4	未声明	否	仅引用思想，不复制
Bend	Apache-2.0	否	参考语言/LAWS 方向
Vine	Apache-2.0	否	参考分层（Vine/Ivy/IVM）
Inpla	MIT	否	参考规则语法/基准方法
Optiscope	BSD-3-Clause	否	参考最优归约可视化
BOHM 1.1	未声明	否	仅文献引用
ingpu	未声明	否	仅文献引用
interaction-net-resources	BSD-3-Clause	否	文献索引；链接保留
HVM2 论文/PDF	论文版权	否	`ref/HVM2.pdf` 本地参考，`.gitignore` 忽略

结论：

Rust（Cargo.lock 为准）：

crate	许可
serde / serde_json	MIT OR Apache-2.0
thiserror	MIT OR Apache-2.0
sha2 / hmac / hex	MIT OR Apache-2.0
ureq	MIT OR Apache-2.0
wasm-bindgen / console_error_panic_hook	MIT OR Apache-2.0

Web：

包	许可
astro / @astrojs/svelte / @astrojs/check	MIT
svelte	MIT
pixi.js	MIT
typescript	Apache-2.0

发布前跑一次：

cargo install cargo-license
cargo license --workspace
cd apps/netbook && pnpm licenses list

docs/audit/licenses-rust.txt：cargo metadata 汇总 89 个 Rust 包，全部为宽松许可（68 × MIT OR Apache-2.0，其余 MIT/ISC/BSD-3-Clause/Zlib/0BSD/Unicode-3.0/CDLA-Permissive-2.0/LLVM-exception）。 mTLS 引入 rustls/ring（ISC/Apache-2.0/ MIT）与 rcgen（MIT/Apache-2.0，仅 dev）。
docs/audit/licenses-web.txt：pnpm licenses list 共 286 个包，244 MIT、14 ISC、8 BSD-2、6 Apache-2.0、6 BSD-3；另有 2 个 MPL-2.0（lightningcss 及其平台二进制）与 1 个 LGPL-3.0-or-later（@img/sharp-libvips-darwin-arm64）。
MPL/LGPL 包均为 Astro/Vite 构建期依赖，不进入静态站产物；若未来改为分发其二进制，需重新评估。
归档命令可复现：cargo metadata / pnpm licenses list；cargo-license 未安装，未作为门禁。