verifactu-lint 0.1.0a2__tar.gz

verifactu_lint-0.1.0a2/.github/ISSUE_TEMPLATE/config.yml

@@ -0,0 +1,13 @@
+blank_issues_enabled: true
+contact_links:
+  - name: Vulnerabilidad de seguridad
+    url: https://github.com/easybytehub/verifactu-lint/security/advisories/new
+    about: >
+      Por el canal privado, no como issue público. Interesan especialmente el
+      agotamiento de recursos con un XML manipulado y cualquier lectura de fichero o
+      red provocada por su contenido.
+  - name: Dudas sobre la norma, no sobre la herramienta
+    url: https://sede.agenciatributaria.gob.es/Sede/iva/sistemas-informaticos-facturacion-verifactu.html
+    about: >
+      Este repositorio no interpreta el reglamento por nadie. Para dudas sobre qué
+      exige la norma, la AEAT publica su FAQ de desarrolladores y atiende un buzón.

verifactu_lint-0.1.0a2/.github/ISSUE_TEMPLATE/falso-positivo.yml

@@ -0,0 +1,49 @@
+name: Falso positivo
+description: verifactu-lint marca como incumplimiento algo que en realidad cumple
+labels: ["falso-positivo"]
+body:
+  - type: markdown
+    attributes:
+      value: |
+        Este es el defecto más grave que puede tener esta herramienta: si marca como
+        incumplimiento algo correcto, alguien cambia código que estaba bien y deja de
+        creerse el resto del informe. Se tratan con prioridad sobre todo lo demás.
+
+        **Anonimiza el caso**: NIF y números de factura ficticios sirven igual. No
+        hace falta —ni queremos— tus registros reales.
+
+  - type: input
+    id: regla
+    attributes:
+      label: Regla
+      placeholder: RRSIF001
+    validations:
+      required: true
+
+  - type: textarea
+    id: registro
+    attributes:
+      label: Registro mínimo que lo reproduce
+      description: El XML más pequeño con el que ocurre, ya anonimizado.
+      render: xml
+    validations:
+      required: true
+
+  - type: textarea
+    id: por_que_cumple
+    attributes:
+      label: Por qué este caso sí cumple
+      description: >
+        Lo más útil aquí es la cita: artículo de la orden, apartado del FAQ de
+        desarrolladores, o la respuesta de la AEAT si la tienes. Si la norma y la
+        regla discrepan, la norma tiene razón.
+    validations:
+      required: true
+
+  - type: input
+    id: version
+    attributes:
+      label: Versión
+      description: "`verifactu-lint --version`"
+    validations:
+      required: true

verifactu_lint-0.1.0a2/.github/ISSUE_TEMPLATE/incumplimiento-no-detectado.yml

@@ -0,0 +1,45 @@
+name: Incumplimiento no detectado
+description: Un registro que incumple y verifactu-lint deja pasar
+labels: ["regla-nueva"]
+body:
+  - type: markdown
+    attributes:
+      value: |
+        **Anonimiza el caso**: NIF y números de factura ficticios sirven igual.
+
+        Si lo que falta es una familia entera de comprobaciones (eventos,
+        rectificativas, NO VERI\*FACTU), mira antes los issues abiertos: es probable
+        que ya esté registrado y prefieras comentar allí.
+
+  - type: textarea
+    id: registro
+    attributes:
+      label: Registro que debería dar hallazgo
+      render: xml
+    validations:
+      required: true
+
+  - type: textarea
+    id: que_incumple
+    attributes:
+      label: Qué incumple, y dónde lo dice la norma
+      description: >
+        Artículo del RD 1007/2023, de la Orden HAC/1177/2024, o apartado del FAQ de
+        desarrolladores. Sin la cita concreta no se puede escribir la regla, porque
+        el campo `norma` del hallazgo es lo que permite contrastarlo.
+    validations:
+      required: true
+
+  - type: dropdown
+    id: severidad
+    attributes:
+      label: Severidad que le corresponde
+      description: >
+        `error` sólo si se puede demostrar con el fichero delante. Si hace falta ver
+        el sistema o algo que no está en el XML, es `incompleto`.
+      options:
+        - error
+        - aviso
+        - incompleto
+    validations:
+      required: true

verifactu_lint-0.1.0a2/.github/workflows/ci.yml

@@ -0,0 +1,59 @@
+# Los tres gates que corren antes de que nada entre en `main`.
+#
+# **Y una cuarta comprobación que no es sobre este código**: los vectores oficiales de
+# la AEAT se ejecutan como parte de `pytest`. Son la definición de correcto para el
+# cálculo de la huella, así que si un cambio los rompe, el cambio está mal — no
+# ellos. Eso es lo que hace que esta herramienta pueda afirmar algo sobre el
+# cumplimiento de otros.
+name: ci
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+
+permissions:
+  contents: read
+
+jobs:
+  gates:
+    runs-on: ubuntu-latest
+    strategy:
+      fail-fast: false
+      # **Se prueba cada versión que `requires-python` permite.** Una versión
+      # declarada y no ejecutada es una promesa que nadie ha comprobado — y como
+      # aquí no hay techo, eso incluye 3.14: es lo que `python3` resuelve hoy en un
+      # Mac actualizado, o sea lo que le toca a quien escriba lo obvio.
+      matrix:
+        python: ["3.11", "3.12", "3.13", "3.14"]
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262  # v4
+        with:
+          persist-credentials: false
+
+      - uses: actions/setup-python@a26af69be951a213d495a4c3e4e4022e16d87065  # v5
+        with:
+          python-version: ${{ matrix.python }}
+
+      - name: Instalar
+        run: python -m pip install --disable-pip-version-check -e ".[dev]"
+
+      - name: ruff
+        run: python -m ruff check .
+
+      - name: mypy
+        run: python -m mypy
+
+      - name: pytest
+        run: python -m pytest -q
+
+      # La herramienta corriendo sobre sus propios ejemplos: el conforme no debe dar
+      # errores y el roto debe darlos. Un `--help` que no falla no prueba que la CLI
+      # haga su trabajo; esto sí.
+      - name: La CLI sobre los ejemplos
+        run: |
+          python -m verifactu_lint.cli ejemplos/cadena-conforme.xml
+          if python -m verifactu_lint.cli ejemplos/cadena-rota.xml; then
+            echo "::error::la cadena rota debería haber salido con código 1"
+            exit 1
+          fi

verifactu_lint-0.1.0a2/.github/workflows/codeql.yml

@@ -0,0 +1,41 @@
+# Análisis estático de una herramienta que no hemos escrito nosotros.
+#
+# **Qué añade sobre `ruff`, que ya ejecuta las reglas de bandit.** Un linter razona
+# línea a línea; CodeQL sigue un valor desde donde entra hasta donde se usa. Aquí eso
+# importa porque el dato de entrada es un XML ajeno: llega de un fichero que el
+# usuario no siempre ha mirado y atraviesa parser, reglas y salida. *Hasta dónde
+# llega un valor no confiable* es exactamente la pregunta que un linter no responde.
+name: codeql
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+  schedule:
+    # Semanal, porque las consultas de CodeQL mejoran sin que este repositorio
+    # cambie: puede aparecer un hallazgo en código que nadie ha tocado.
+    - cron: "23 4 * * 2"
+
+permissions:
+  contents: read
+
+jobs:
+  analyse:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+      security-events: write  # el único write, y escribe hallazgos, no código
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262  # v4
+        with:
+          persist-credentials: false
+
+      - uses: github/codeql-action/init@c4dd10e44af883a891fe31ced449bcb4a6728b9b  # v3
+        with:
+          languages: python
+          # `security-and-quality` en lugar del conjunto de seguridad a secas: este
+          # código lo leen desconocidos decidiendo si fiarse de él, así que un aviso
+          # sobre un `except` demasiado ancho compensa el ruido que añade.
+          queries: security-and-quality
+
+      - uses: github/codeql-action/analyze@c4dd10e44af883a891fe31ced449bcb4a6728b9b  # v3

verifactu_lint-0.1.0a2/.github/workflows/release.yml

@@ -0,0 +1,131 @@
+# Lo que produce una etiqueta: un wheel publicado y su procedencia comprobable.
+#
+# **Por qué la procedencia importa especialmente en esta herramienta.** Se instala
+# para responder a «¿cumplo?» en un sistema cuyo titular responde de su facturación.
+# Pedirle que confíe a ciegas en un paquete descargado sería ampliarle la superficie
+# de riesgo justo donde vino a reducirla. `gh attestation verify` le deja comprobar
+# qué commit, qué workflow y qué runner produjeron exactamente el artefacto que se
+# está instalando.
+#
+# **Ninguna clave nuestra interviene.** GitHub emite un token OIDC efímero para esta
+# ejecución, se firma con él y la atestación queda registrada públicamente. No hay
+# nada que custodiar, rotar ni filtrar. Lo mismo para PyPI: publicación por Trusted
+# Publishing, sin token de API almacenado en ningún secreto.
+name: release
+
+on:
+  push:
+    tags: ["v*"]
+
+# **Lectura arriba, escritura sólo en el job que la necesita.** Un permiso de
+# escritura declarado al principio del fichero se concede a *todos* los jobs,
+# incluido cualquiera que se añada después y sólo necesite leer.
+permissions:
+  contents: read
+
+jobs:
+  publish:
+    runs-on: ubuntu-latest
+    environment: release
+    permissions:
+      contents: write      # crear la release y adjuntar el wheel con su procedencia
+      id-token: write      # OIDC: firma de la atestación y Trusted Publishing en PyPI
+      attestations: write  # registrar la atestación
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262  # v4
+        with:
+          persist-credentials: false
+
+      - uses: actions/setup-python@a26af69be951a213d495a4c3e4e4022e16d87065  # v5
+        with:
+          python-version: "3.12"
+
+      # **La etiqueta y `__version__` tienen que coincidir.** Publicar un wheel que
+      # dice 0.1.0 bajo una etiqueta v0.2.0 es inutilizable para quien fije
+      # cualquiera de las dos, y el fallo aparece meses después en un informe que
+      # nadie puede reproducir. Se comprueba antes de construir nada.
+      - name: La etiqueta y `__version__` deben coincidir
+        run: |
+          etiquetada="${GITHUB_REF_NAME#v}"
+          declarada=$(python -c 'import sys; sys.path.insert(0, "src"); import verifactu_lint; print(verifactu_lint.__version__)')
+          if [ "$etiquetada" != "$declarada" ]; then
+            echo "::error::la etiqueta es v$etiquetada y __version__ es $declarada."
+            echo "Corrige el paquete o mueve la etiqueta; publicarlos separados es peor que no publicar."
+            exit 1
+          fi
+
+      - name: Construir el wheel
+        run: |
+          python -m pip install --disable-pip-version-check build==1.2.2.post1
+          python -m build
+
+      # La atestación se genera sobre el artefacto ya construido y antes de
+      # publicarlo: una procedencia que llegue después de la publicación es una que
+      # alguien pudo descargarse sin ella.
+      - name: Atestiguar la procedencia
+        id: provenance
+        uses: actions/attest-build-provenance@e8998f949152b193b063cb0ec769d69d929409be  # v2
+        with:
+          subject-path: dist/*
+
+      # **El bundle se adjunta a la release, y no es redundante.** GitHub guarda las
+      # atestaciones fuera de banda, donde una herramienta que mira los *assets* de
+      # una release no las ve. Adjuntarlo las deja comprobables también como fichero,
+      # sin necesidad de confiar en la API de este repositorio.
+      #
+      # Se copia FUERA de `dist/` a propósito: ese directorio se sube íntegro a PyPI,
+      # que rechaza cualquier fichero que no sea un artefacto instalable.
+      - name: Publicar la release con el wheel y su procedencia
+        env:
+          GH_TOKEN: ${{ github.token }}
+          PROVENANCE: ${{ steps.provenance.outputs.bundle-path }}
+        run: |
+          mkdir -p release
+          cp dist/* release/
+          cp "$PROVENANCE" release/provenance.intoto.jsonl
+          notas="Verificar la procedencia del wheel:
+
+          \`\`\`bash
+          gh attestation verify --owner ${{ github.repository_owner }} verifactu_lint-*.whl
+          \`\`\`"
+          prerelease=""
+          case "${GITHUB_REF_NAME#v}" in
+            *a*|*b*|*rc*) prerelease="--prerelease" ;;
+          esac
+          gh release create "$GITHUB_REF_NAME" release/* \
+            --title "$GITHUB_REF_NAME" --notes "$notas" $prerelease
+
+      # **Por qué este paso está condicionado.** Trusted Publishing exige registrar
+      # antes un *pending publisher* en pypi.org, y eso sólo puede hacerlo una
+      # persona con sesión allí. Hasta que exista, este paso fallaría y dejaría en
+      # rojo una release cuyo wheel y cuya procedencia son perfectamente válidos.
+      #
+      # La alternativa —`continue-on-error`— esconde el fallo: la release saldría
+      # verde sin haber publicado nada, que es peor. Una variable de repositorio hace
+      # explícito el estado: mientras no esté, el resumen dice que no se publicó y
+      # por qué.
+      #
+      # Para activarlo: en pypi.org → Publishing → Add a pending publisher, con
+      # owner `easybytehub`, repositorio `verifactu-lint`, workflow `release.yml` y
+      # environment `release`. Después, definir la variable de repositorio
+      # `PYPI_TRUSTED_PUBLISHER` con valor `listo`.
+      - name: Publicar en PyPI
+        if: vars.PYPI_TRUSTED_PUBLISHER == 'listo'
+        uses: pypa/gh-action-pypi-publish@dc37677b2e1c63e2034f94d8a5b11f265b73ba33  # release/v1
+        with:
+          packages-dir: dist
+          skip-existing: true
+
+      - name: Avisar de que PyPI está pendiente
+        if: vars.PYPI_TRUSTED_PUBLISHER != 'listo'
+        run: |
+          echo "::notice::Release publicada en GitHub con procedencia verificable, pero NO en PyPI."
+          {
+            echo "### PyPI: no publicado"
+            echo
+            echo 'La variable de repositorio `PYPI_TRUSTED_PUBLISHER` no vale `listo`.'
+            echo 'Registra el pending publisher en pypi.org (owner `easybytehub`,'
+            echo 'repo `verifactu-lint`, workflow `release.yml`, environment `release`)'
+            echo 'y define la variable. El wheel de esta release es válido y'
+            echo 'se puede instalar desde la propia release.'
+          } >> "$GITHUB_STEP_SUMMARY"

verifactu_lint-0.1.0a2/.github/workflows/scorecard.yml

@@ -0,0 +1,47 @@
+# La puntuación de seguridad de la cadena de suministro, calculada por alguien que
+# no somos nosotros.
+#
+# **Por qué se publica.** Una herramienta que le pide a su usuario que compruebe la
+# procedencia de lo que instala no puede pedirle a la vez que se crea nuestra propia
+# valoración de nuestras prácticas. `publish_results` envía el resultado a la API
+# pública de la OpenSSF, donde cualquiera puede consultarlo sin pasar por aquí.
+#
+# **No sube sus hallazgos a code scanning, y es deliberado.** Los checks de Scorecard
+# son puntuaciones de política del repositorio —edad del proyecto, decisiones sobre
+# revisión de código—, no defectos del programa. Mezclarlos con los de CodeQL llena
+# la pestaña Security de entradas que nadie puede cerrar, y una pestaña que no se
+# puede vaciar es una pestaña que nadie mira. El SARIF queda como artefacto de la
+# ejecución, legible cuando alguien quiera el detalle.
+name: scorecard
+
+on:
+  push:
+    branches: [main]
+  schedule:
+    - cron: "41 5 * * 2"
+
+permissions:
+  contents: read
+
+jobs:
+  analyse:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+      id-token: write  # con lo que firma `publish_results`; no es una clave nuestra
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262  # v4
+        with:
+          persist-credentials: false
+
+      - uses: ossf/scorecard-action@2d1146689b8cda280b9bc96326124645441f03bc  # v2.4.4
+        with:
+          results_file: results.sarif
+          results_format: sarif
+          publish_results: true
+
+      - uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02  # v4
+        with:
+          name: scorecard-results
+          path: results.sarif
+          retention-days: 30

verifactu_lint-0.1.0a2/.gitignore

@@ -0,0 +1,9 @@
+.venv/
+__pycache__/
+*.py[cod]
+dist/
+build/
+*.egg-info/
+.mypy_cache/
+.ruff_cache/
+.pytest_cache/

verifactu_lint-0.1.0a2/CONTRIBUTING.md

@@ -0,0 +1,75 @@
+# Contribuir
+
+## Lo más útil que puedes aportar
+
+**Un registro real que esta herramienta juzga mal.** Un falso positivo —algo marcado
+como `error` que la AEAT acepta— es el defecto más grave que puede tener un linter de
+cumplimiento, porque hace que alguien cambie código correcto y deje de creerse el
+resto del informe. Si te encuentras uno, ábrelo como issue con el caso mínimo que lo
+reproduce (anonimizado: NIF y números de factura ficticios bastan).
+
+Lo segundo más útil: **un incumplimiento real que no detecta**.
+
+## Entorno
+
+```bash
+git clone https://github.com/easybytehub/verifactu-lint
+cd verifactu-lint
+python -m venv .venv
+.venv/bin/pip install -e ".[dev]"
+```
+
+Los tres gates, que son los mismos que corren en CI:
+
+```bash
+.venv/bin/python -m ruff check .
+.venv/bin/python -m mypy
+.venv/bin/python -m pytest
+```
+
+## Escribir una regla
+
+Una regla es una función `list[Registro] -> list[Hallazgo]`. No hay clase base, ni
+registro por decorador, ni sistema de plugins: escribes la función, la añades a la
+tupla `REGLAS` de su familia en `src/verifactu_lint/reglas/`, y le pones un test.
+
+Recibe la lista completa y no un registro suelto porque casi todo lo que importa aquí
+es relacional —el encadenamiento, la numeración duplicada, cuántas cadenas hay
+mezcladas— y una interfaz de uno en uno obligaría a las reglas interesantes a
+mantener estado por su cuenta.
+
+Toda regla necesita:
+
+1. **La cita normativa concreta** en el campo `norma`. Sin ella el hallazgo no se
+   puede contrastar, y un informe que hay que creerse a ciegas no sirve de nada.
+2. **Una severidad justificada.** Si no puedes demostrar el incumplimiento con lo que
+   hay en el fichero, es `AVISO` o `INCOMPLETO`, no `ERROR`.
+3. **Dos tests como mínimo**: uno con un caso que la dispare y otro con uno que no.
+4. **Agregación si puede repetirse.** Una regla que emita un hallazgo por registro
+   produce miles de líneas idénticas en un fichero real y hace ilegible el informe.
+   Emite uno por campo o por causa, y di cuántos registros afecta.
+
+Los identificadores de regla (`RRSIF0NN`) son estables: no se reutilizan ni se
+renumeran, porque la gente los mete en configuraciones y filtros.
+
+## Los vectores oficiales
+
+`tests/test_huella.py` contiene los tres ejemplos del apartado 6 del documento de la
+AEAT *Detalle de las especificaciones técnicas para generación de la huella o hash de
+los registros de facturación*.
+
+**Esos tests no se tocan.** Si un cambio los rompe, es el cambio el que está mal. Son
+lo único que permite a esta herramienta afirmar algo sobre el cumplimiento de otros.
+
+## Workflows
+
+Las acciones se fijan al SHA completo del commit, nunca a una etiqueta: una etiqueta
+la puede mover su autor, y el workflow de release sostiene un token capaz de publicar
+paquetes. Hay un test que lo comprueba (`tests/test_workflows.py`), así que no hace
+falta acordarse.
+
+## Estilo
+
+Los comentarios explican **por qué**, no qué. El qué ya está en el código. Si un
+fragmento existe porque una alternativa evidente no funciona, escribe cuál y por qué:
+eso es lo que evita que alguien lo «simplifique» dentro de seis meses.

verifactu_lint-0.1.0a2/LICENSE

@@ -0,0 +1,202 @@
+
+                                 Apache License
+                           Version 2.0, January 2004
+                        http://www.apache.org/licenses/
+
+   TERMS AND CONDITIONS FOR USE, REPRODUCTION, AND DISTRIBUTION
+
+   1. Definitions.
+
+      "License" shall mean the terms and conditions for use, reproduction,
+      and distribution as defined by Sections 1 through 9 of this document.
+
+      "Licensor" shall mean the copyright owner or entity authorized by
+      the copyright owner that is granting the License.
+
+      "Legal Entity" shall mean the union of the acting entity and all
+      other entities that control, are controlled by, or are under common
+      control with that entity. For the purposes of this definition,
+      "control" means (i) the power, direct or indirect, to cause the
+      direction or management of such entity, whether by contract or
+      otherwise, or (ii) ownership of fifty percent (50%) or more of the
+      outstanding shares, or (iii) beneficial ownership of such entity.
+
+      "You" (or "Your") shall mean an individual or Legal Entity
+      exercising permissions granted by this License.
+
+      "Source" form shall mean the preferred form for making modifications,
+      including but not limited to software source code, documentation
+      source, and configuration files.
+
+      "Object" form shall mean any form resulting from mechanical
+      transformation or translation of a Source form, including but
+      not limited to compiled object code, generated documentation,
+      and conversions to other media types.
+
+      "Work" shall mean the work of authorship, whether in Source or
+      Object form, made available under the License, as indicated by a
+      copyright notice that is included in or attached to the work
+      (an example is provided in the Appendix below).
+
+      "Derivative Works" shall mean any work, whether in Source or Object
+      form, that is based on (or derived from) the Work and for which the
+      editorial revisions, annotations, elaborations, or other modifications
+      represent, as a whole, an original work of authorship. For the purposes
+      of this License, Derivative Works shall not include works that remain
+      separable from, or merely link (or bind by name) to the interfaces of,
+      the Work and Derivative Works thereof.
+
+      "Contribution" shall mean any work of authorship, including
+      the original version of the Work and any modifications or additions
+      to that Work or Derivative Works thereof, that is intentionally
+      submitted to Licensor for inclusion in the Work by the copyright owner
+      or by an individual or Legal Entity authorized to submit on behalf of
+      the copyright owner. For the purposes of this definition, "submitted"
+      means any form of electronic, verbal, or written communication sent
+      to the Licensor or its representatives, including but not limited to
+      communication on electronic mailing lists, source code control systems,
+      and issue tracking systems that are managed by, or on behalf of, the
+      Licensor for the purpose of discussing and improving the Work, but
+      excluding communication that is conspicuously marked or otherwise
+      designated in writing by the copyright owner as "Not a Contribution."
+
+      "Contributor" shall mean Licensor and any individual or Legal Entity
+      on behalf of whom a Contribution has been received by Licensor and
+      subsequently incorporated within the Work.
+
+   2. Grant of Copyright License. Subject to the terms and conditions of
+      this License, each Contributor hereby grants to You a perpetual,
+      worldwide, non-exclusive, no-charge, royalty-free, irrevocable
+      copyright license to reproduce, prepare Derivative Works of,
+      publicly display, publicly perform, sublicense, and distribute the
+      Work and such Derivative Works in Source or Object form.
+
+   3. Grant of Patent License. Subject to the terms and conditions of
+      this License, each Contributor hereby grants to You a perpetual,
+      worldwide, non-exclusive, no-charge, royalty-free, irrevocable
+      (except as stated in this section) patent license to make, have made,
+      use, offer to sell, sell, import, and otherwise transfer the Work,
+      where such license applies only to those patent claims licensable
+      by such Contributor that are necessarily infringed by their
+      Contribution(s) alone or by combination of their Contribution(s)
+      with the Work to which such Contribution(s) was submitted. If You
+      institute patent litigation against any entity (including a
+      cross-claim or counterclaim in a lawsuit) alleging that the Work
+      or a Contribution incorporated within the Work constitutes direct
+      or contributory patent infringement, then any patent licenses
+      granted to You under this License for that Work shall terminate
+      as of the date such litigation is filed.
+
+   4. Redistribution. You may reproduce and distribute copies of the
+      Work or Derivative Works thereof in any medium, with or without
+      modifications, and in Source or Object form, provided that You
+      meet the following conditions:
+
+      (a) You must give any other recipients of the Work or
+          Derivative Works a copy of this License; and
+
+      (b) You must cause any modified files to carry prominent notices
+          stating that You changed the files; and
+
+      (c) You must retain, in the Source form of any Derivative Works
+          that You distribute, all copyright, patent, trademark, and
+          attribution notices from the Source form of the Work,
+          excluding those notices that do not pertain to any part of
+          the Derivative Works; and
+
+      (d) If the Work includes a "NOTICE" text file as part of its
+          distribution, then any Derivative Works that You distribute must
+          include a readable copy of the attribution notices contained
+          within such NOTICE file, excluding those notices that do not
+          pertain to any part of the Derivative Works, in at least one
+          of the following places: within a NOTICE text file distributed
+          as part of the Derivative Works; within the Source form or
+          documentation, if provided along with the Derivative Works; or,
+          within a display generated by the Derivative Works, if and
+          wherever such third-party notices normally appear. The contents
+          of the NOTICE file are for informational purposes only and
+          do not modify the License. You may add Your own attribution
+          notices within Derivative Works that You distribute, alongside
+          or as an addendum to the NOTICE text from the Work, provided
+          that such additional attribution notices cannot be construed
+          as modifying the License.
+
+      You may add Your own copyright statement to Your modifications and
+      may provide additional or different license terms and conditions
+      for use, reproduction, or distribution of Your modifications, or
+      for any such Derivative Works as a whole, provided Your use,
+      reproduction, and distribution of the Work otherwise complies with
+      the conditions stated in this License.
+
+   5. Submission of Contributions. Unless You explicitly state otherwise,
+      any Contribution intentionally submitted for inclusion in the Work
+      by You to the Licensor shall be under the terms and conditions of
+      this License, without any additional terms or conditions.
+      Notwithstanding the above, nothing herein shall supersede or modify
+      the terms of any separate license agreement you may have executed
+      with Licensor regarding such Contributions.
+
+   6. Trademarks. This License does not grant permission to use the trade
+      names, trademarks, service marks, or product names of the Licensor,
+      except as required for reasonable and customary use in describing the
+      origin of the Work and reproducing the content of the NOTICE file.
+
+   7. Disclaimer of Warranty. Unless required by applicable law or
+      agreed to in writing, Licensor provides the Work (and each
+      Contributor provides its Contributions) on an "AS IS" BASIS,
+      WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or
+      implied, including, without limitation, any warranties or conditions
+      of TITLE, NON-INFRINGEMENT, MERCHANTABILITY, or FITNESS FOR A
+      PARTICULAR PURPOSE. You are solely responsible for determining the
+      appropriateness of using or redistributing the Work and assume any
+      risks associated with Your exercise of permissions under this License.
+
+   8. Limitation of Liability. In no event and under no legal theory,
+      whether in tort (including negligence), contract, or otherwise,
+      unless required by applicable law (such as deliberate and grossly
+      negligent acts) or agreed to in writing, shall any Contributor be
+      liable to You for damages, including any direct, indirect, special,
+      incidental, or consequential damages of any character arising as a
+      result of this License or out of the use or inability to use the
+      Work (including but not limited to damages for loss of goodwill,
+      work stoppage, computer failure or malfunction, or any and all
+      other commercial damages or losses), even if such Contributor
+      has been advised of the possibility of such damages.
+
+   9. Accepting Warranty or Additional Liability. While redistributing
+      the Work or Derivative Works thereof, You may choose to offer,
+      and charge a fee for, acceptance of support, warranty, indemnity,
+      or other liability obligations and/or rights consistent with this
+      License. However, in accepting such obligations, You may act only
+      on Your own behalf and on Your sole responsibility, not on behalf
+      of any other Contributor, and only if You agree to indemnify,
+      defend, and hold each Contributor harmless for any liability
+      incurred by, or claims asserted against, such Contributor by reason
+      of your accepting any such warranty or additional liability.
+
+   END OF TERMS AND CONDITIONS
+
+   APPENDIX: How to apply the Apache License to your work.
+
+      To apply the Apache License to your work, attach the following
+      boilerplate notice, with the fields enclosed by brackets "[]"
+      replaced with your own identifying information. (Don't include
+      the brackets!)  The text should be enclosed in the appropriate
+      comment syntax for the file format. We also recommend that a
+      file or class name and description of purpose be included on the
+      same "printed page" as the copyright notice for easier
+      identification within third-party archives.
+
+   Copyright [yyyy] [name of copyright owner]
+
+   Licensed under the Apache License, Version 2.0 (the "License");
+   you may not use this file except in compliance with the License.
+   You may obtain a copy of the License at
+
+       http://www.apache.org/licenses/LICENSE-2.0
+
+   Unless required by applicable law or agreed to in writing, software
+   distributed under the License is distributed on an "AS IS" BASIS,
+   WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
+   See the License for the specific language governing permissions and
+   limitations under the License.