## What — LICENSE はただの自己申告 LICENSE ファイルは**ただの自己申告**。GitHub は「その人が本当に権利者か」を検証しないので、他人のコードに勝手に MIT を付けることも物理的にはできる（その場合の MIT 表示は法的に無効で、信じて使った側も侵害リスクを負う）。またライセンスはコードの中身に何も言っていない。マルウェア入りの npm パッケージにも MIT は付いている。 それでもライセンスに意味がある理由は4つ。 1. **禁止の解除**：著作権法のデフォルトは全面禁止。公開コードでもライセンスが無いと法的に使えない。これを解除する唯一の手段 2. **交渉のゼロコスト化**：定型文1枚で世界中に一括許可。作者への個別交渉なしで依存100個を使えるのはこのおかげ 3. **作者の防御**：AS IS（無保証）条項は「タダで配るけど責任は取らない」の明文化。個人が安心して公開できる 4. **責任の所在の確定**：偽って付けた人が侵害責任を負う。詐欺を防げなくても、誰が悪いかを確定させる根拠になる ## How — 法律レイヤーと信頼レイヤーを分けて見る つまり分担はこうなる。**法律レイヤーはライセンスで解決、信頼レイヤー（メンテナは誰か・脆弱性は無いか）は別の道具で解決**する。 - 法律レイヤー：LICENSE ファイル・著作権表示・伝播するかどうか - 信頼レイヤー：活動履歴・issue の応答・lockfile での固定・`govulncheck` / `npm audit` 依存を選ぶときは、この2つを別々にチェックする。ライセンスが OK でも安全とは限らないし、逆に安全そうでもライセンスが無ければ使えない。片方で両方を判断しようとするのが事故のもと。 ## 関連 - [[GitHub]] - [[MITライセンス]] — 具体例。パーミッシブ型の代表 - [[Apache-2.0ライセンス]] — 特許まで明文化した側