admin/0pt
5
0
Fork 0
Code Issues 9 Pull Requests Actions Packages Projects Releases Wiki Activity

fix(BI-P147): flytta MetricFlow-pinnen ovanför licensgränsen (0.208.1 var BUSL-1.1) #39

Merged
admin merged 1 commits from fix/bi-p147-metricflow-licence-boundary into main 2026-09-07 07:05:28 +00:00
Conversation 0 Commits 1 Files Changed 2
+63 -5
1 Commits
Author SHA1 Message Date
siax-agentandClaude Opus 5 0e0e1fec56 fix(BI-P147): flytta MetricFlow-pinnen ovanför licensgränsen (0.208.1 var BUSL)
Security Scan (SIAX Cloud) / security (push) Successful in 15s
Details
CI (SIAX Cloud) / security (pull_request) Successful in 16s
Details
Security Scan (SIAX Cloud) / security (pull_request) Successful in 20s
Details
CI (SIAX Cloud) / security (push) Successful in 29s
Details
CI (SIAX Cloud) / quality (push) Successful in 36s
Details
CI (SIAX Cloud) / integration (pull_request) Successful in 37s
Details
CI (SIAX Cloud) / integration (push) Successful in 49s
Details
CI (SIAX Cloud) / quality (pull_request) Successful in 51s
Details 
Certifieringslanan (BI-P147) hittade det; jag verifierade det oberoende mot
LICENSE-filen vid respektive git-tagg 2026-09-07:

  v0.208.1  Business Source License 1.1   — source-available, INTE öppen källkod
  v0.209.0  Apache License 2.0

dbt Labs licensierade om MetricFlow vid 0.209.0. Den gamla pinnen låg alltså
exakt en patch under gränsen. För en självhostad plattform vars hela premiss
är att inte ha ett proprietärt runtime-beroende är det en licensdefekt, inte
en smaksak: BUSL begränsar produktionsanvändning fram till sitt change date.

Notera metodpunkten: PyPI redovisar INGET licensfält för någondera versionen,
så en metadatakontroll hade inte hittat något. Skillnaden syns bara i
LICENSE-filen vid taggen.

Ny grind: `tests/unit/metricflow-licence.test.ts` asserterar att pinnen ligger
på eller över `METRICFLOW_FIRST_OPEN_SOURCE_VERSION`, och — som negativ
kontroll — att alla tre kända BUSL-versionerna (0.207.3, 0.208.0, 0.208.1)
faktiskt förkastas av samma jämförelse. Utan den andra assertionen hade den
första kunnat passera med en jämförelse som inte diskriminerar.

Detta gör INTE MetricFlow verifierad: `providerReadiness()` returnerar
fortfarande `verified: false`, ingen supply-chain-granskning är gjord och
providern har aldrig körts (ingen Python-runtime är provisionerad). Att laga
licensen är inte samma sak som att bevisa komponenten.

typecheck rent, 2/2 tester gröna.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-09-07 09:04:30 +02:00