# 第三方组件与来源

本表适用于当前 C# 实现。内核、桌面和 Web 布局/绘制由本项目维护；引导器、运行时框架、解析器、协议组件和字体分别复用下列项目。历史发行目录、ZIP 与验收记录保留其原有声明，不将历史依赖当作当前构建必需项。

精确版本和内容校验见 [tools-lock.json](tools-lock.json)、[Tools/CSharpBoot/Dependencies.json](Tools/CSharpBoot/Dependencies.json)、各项目 `Packages.lock.json`、[ManagedDependencies.json](Source/XFESystem.Browser/ManagedDependencies.json) 和资源清单。下载 URL、名称与哈希不能代替完整许可证正文。

## 构建、引导与测试

| 组件 | 固定版本与使用范围 | 上游与许可证 |
| --- | --- | --- |
| .NET SDK / NativeAOT 运行时库 | SDK 10.0.401、NativeAOT runtime pack 10.0.12；Windows 编译宿主、System V/ELF 裸机库 | [.NET](https://github.com/dotnet/runtime)，MIT 及第三方声明；`linux-x64` 表示 ABI/库目标，不表示 Linux 内核，也不表示完整 CoreCLR 已移植 |
| Cosmos | 3.0.94；NativeAOT SDK、IL patcher、托管运行时/GC、架构初始化、调度和设备/网络框架 | [Cosmos v3.0.94](https://github.com/CosmosOS/Cosmos/tree/v3.0.94)，BSD-3-Clause；完整许可与补充第三方致谢位于 `Tools/CSharpBoot/Licenses`，源码归档 SHA256 位于 `Dependencies.json` |
| bflat | 8.0.2；C# UEFI 显示初始化助手的宿主交叉编译器 | [bflat v8.0.2](https://github.com/bflattened/bflat/releases/tag/v8.0.2)，MIT，版权 Michal Strehovsky；完整项目许可见 [Bflat-8.0.2.txt](Tools/CSharpBoot/Licenses/Bflat-8.0.2.txt)，[第三方声明](Tools/CSharpBoot/Licenses/Bflat-8.0.2-ThirdPartyNotices.txt) 随包保留。版本号不代表来宾安装了 .NET 8 |
| LLVM / Clang / LLD | 20.1.8；Cosmos 原生支持代码及 ELF 链接 | [LLVM 20.1.8](https://github.com/llvm/llvm-project/releases/tag/llvmorg-20.1.8)，Apache-2.0 WITH LLVM-exception 及分发包内第三方声明 |
| Limine | 12.9.3；x86_64 UEFI 引导器 | [Limine 12.9.3](https://github.com/Limine-Bootloader/Limine/releases/tag/v12.9.3)，BSD-2-Clause；完整 `LICENSE` 与 `3RDPARTY.md` 保留于 `.tools/limine` 并按发行范围随包携带 |
| QEMU | Windows 11.1.0；虚拟硬件、串口/QMP 自动验收与交互窗口 | [QEMU 官方 Windows 下载入口](https://www.qemu.org/download/#windows)、[Stefan Weil 分发站](https://qemu.weilnetz.de/w64/)，GPL-2.0-or-later 及分发包内组件许可；现有系统发行包不捆绑 QEMU |
| EDK2 | QEMU 11.1.2 中固定的 x86_64 固件与变量模板 | [QEMU 11.1.2 pc-bios](https://github.com/qemu/qemu/tree/v11.1.2/pc-bios)，多项许可；完整声明见 `.tools/firmware/edk2-licenses.txt` |
| esbuild | 0.25.11；将官方 Monaco ESM 核心转换为离线 classic IIFE | [esbuild](https://github.com/evanw/esbuild)，MIT；源归档、编译器、实际输入和输出哈希见 `assets/Browser/Monaco/0.52.2/Core/TransformationManifest.json`，许可为同目录 `EsbuildLicense.txt` |

QEMU 安装包按发布站 SHA512 验证后仅解包；Limine/LLVM 和固件下载按锁文件 SHA256 验证。备用下载地址不改变预期哈希。NuGet 构建工具及 Cosmos 引用的补充组件（含 Mono.Cecil、Roslyn、PNG/字体组件等）的完整版权与许可由 [收集清单](Tools/CSharpBoot/Licenses/Collected/Manifest.json) 记录；收集工具为 `Tools/CSharpBoot/CollectLicenses.py`。列入清单不代表相关代码一定经过 NativeAOT 裁剪后保留或在来宾中执行。

## 托管程序、浏览器与文档

| 组件 | 固定版本与使用范围 | 上游与许可证 |
| --- | --- | --- |
| XFEExtension.NetCore.XFEConsole | 2.6.0；实际控制台演示与受限程序集的 Console 绑定 | [XFEConsole](https://github.com/XFEstudio/XFEExtension.NetCore.XFEConsole)，MIT；包 SHA256 与源码 commit 见 `ManagedDependencies.json` |
| XFEExtension.NetCore | 5.2.0；XFEConsole 的传递依赖 | [XFEExtension](https://github.com/XFEstudio/XFEExtension)，MIT；包 SHA256 与源码 commit 见 `ManagedDependencies.json` |
| Jint / Acornima | 4.11.0 / 1.6.2；有预算的 JavaScript 解释与解析 | [Jint](https://github.com/sebastienros/jint)，BSD-2-Clause；[Acornima](https://github.com/adams85/acornima)，BSD-3-Clause；版本、包哈希和源码 commit 见托管依赖清单 |
| AngleSharp / AngleSharp.Css | 浏览器直接使用 AngleSharp 1.7.1；文档清理项目及传递版本以各自锁文件为准 | [AngleSharp](https://github.com/AngleSharp/AngleSharp)、[AngleSharp.Css](https://github.com/AngleSharp/AngleSharp.Css)，MIT |
| Markdig | 0.44.0；网站相同的 Markdown 管线 | [Markdig](https://github.com/xoofx/markdig)，BSD-2-Clause；NuGet 内容哈希见锁文件 |
| HtmlSanitizer | 9.1.968-beta；网站相同的 HTML 清理策略 | [HtmlSanitizer](https://github.com/mganss/HtmlSanitizer)，MIT；NuGet 内容哈希见锁文件 |
| Monaco Editor | 0.52.2；真实编辑器核心，在自研 DOM/CSS/Jint 中运行 | [Monaco Editor](https://github.com/microsoft/monaco-editor)，MIT；完整版权、ThirdPartyNotices、原分发完整性与逐文件哈希保留于 `assets/Browser/Monaco/0.52.2`。未嵌入 Chromium，未捆绑完整语言服务 |
| XFEStudioWebSite 文档资源 | commit `95b43e16776aa648bca19d0060d01d3d2a52196e`；文章样式、代码工具与渲染策略快照 | Apache-2.0；网站完整许可证随 Documents 资源保留，导入没有修改网站工作树 |
| Bootstrap CSS / Bootstrap Icons CSS | 原站固定的样式；Icons 1.11.3 | [Bootstrap](https://github.com/twbs/bootstrap)、[Bootstrap Icons](https://github.com/twbs/icons/tree/v1.11.3)，MIT；原文件许可证头与对应完整许可保留 |
| Highlight.js / KaTeX / Mermaid | 11.11.1 / 0.16.9 / 11.16.0；原网站离线 HTML 预览资源 | BSD-3-Clause / MIT / MIT 及 Mermaid 捆绑依赖声明；完整文本、来源和哈希见 [文档组件声明](Source/XFESystem.Documents/ThirdPartyNotices.md) 与 `Assets/Website` |

网站文章组件的原字节 CSS/JS、主题、Razor/管线快照及字体 URL 由 [Exact/SourceManifest.json](Source/XFESystem.Documents/Assets/Website/Exact/SourceManifest.json) 逐项记录；源 SHA256 与快照 SHA256 相等。规范 URL 由本地资源目录映射，没有修改原 CSS/JS。该范围不含网站外围导航、账号或整站应用。补充许可文本与固定官方来源见父目录 `*.License.txt` 和 `LicenseManifest.json`。

`assets/Browser/WebsiteCode/` 原字节保留网站 `highlight.min.js`、自定义 `csharp.js`、`code-style.css` 和网站许可证。原站使用 **highlight.js，并未使用 Monaco**。`CodePalette.js` 是从原 CSS 生成的派生调色板，`WebsiteMonaco.js` 是 XFESystem 新增的显式适配器；来源提交、原字节、派生输出及许可边界见该目录 `Manifest.json` 和 `Readme.md`。发行包同时提供 Highlight.js 完整 BSD-3-Clause 文本；同源语法与颜色不意味着编辑界面或网页逐像素相同。

## 字体与图形资源

| 组件 | 使用范围与版权保留 | 上游与许可证 |
| --- | --- | --- |
| XFE Unicode Console | 中文和 Unicode 点阵字形；原始版权、源文件及 SHA256 保留于 `assets/fonts/unifont-16.0.04/` | [GNU Unifont 16.0.04](https://unifoundry.com/pub/unifont/unifont-16.0.04/)，本项目选择 OFL-1.1 |
| Cascadia Mono | 默认拉丁等宽字形；原始字体、许可和 SHA256 见 `assets/fonts/cascadia-mono-2407.24/`，派生点阵位于 `assets/branding/console/` | [Microsoft Cascadia Code 2407.24](https://github.com/microsoft/cascadia-code/releases/tag/v2407.24)，OFL-1.1 |
| Lato | Web 正文比例字体回退，Regular / Bold 2.015；原字节来自已固定 QEMU Windows 11.1.0 分发包，字体内版权、哈希和许可见 `assets/fonts/lato-2.015/` | [Lato](https://www.latofonts.com/)，OFL-1.1 |
| XFE Web CJK / Noto Sans SC | Noto Sans SC 2.004-H2 派生静态 TrueType 400/700；派生家族为 XFE Web CJK，仅作 Web 按字形缺失回退。源字体、官方 Git blob、传输核验、FontTools 4.61.1 转换、覆盖范围及哈希见 `assets/fonts/noto-sans-sc-2.004/` | [Google Fonts 官方 Noto Sans SC](https://github.com/google/fonts/tree/main/ofl/notosanssc)，OFL-1.1 |
| Bootstrap Icons 字体 | 1.11.3；原站代码工具栏完整 Web 字体。原 CDN WOFF/WOFF2、MIT、源/输出哈希和 FontTools 4.61.1 无损 TTF 展开记录见 `assets/fonts/bootstrap-icons-1.11.3/`；保留全部 2,050 码位和原轮廓 | [Bootstrap Icons v1.11.3](https://github.com/twbs/icons/tree/v1.11.3)，MIT |

不捆绑 Windows Segoe UI、Consolas 或微软雅黑；原 CSS 的请求名称与实际回退字体分别记录，不能宣称字形像素相等。XFE 桌面与文件图标的生成来源、提示词、原图和哈希保留在 `assets/DesktopIcons`，不替代字体或网站资源的第三方版权。

## 发行要求

带第三方二进制、脚本、字体或资源的发行包须同时携带适用的完整许可证、版权与第三方声明，并履行适用的源码提供要求。`Tools/CSharpBoot/Licenses/Collected/Manifest.json`、字体清单和网站许可清单分别保留其来源与校验值；未标明精确源码 commit 的补充许可文本应明确记录为另行固定的官方来源，不能冒称源码版本完全一致。

组件存在或可以在宿主运行，不证明在 XFESystem 中完成初始化。真实来宾网络、TLS、存储、GPU/CUDA、独立程序和性能是否通过，以对应镜像的验收记录为准。

NVIDIA 原生命令协议组件参考 `open-gpu-kernel-modules` 615.78.08 的公开命令头文件及队列发布算法，固定提交为 `ca2d03e6fafd4d4b56b383497d931c25b283bfcf`。13 个来源文件的 SHA256、Git blob 和官方链接见 [NvidiaSources.lock.json](Tools/Gpu/NvidiaSources.lock.json)，完整 MIT 许可和相关版权见 [NvidiaPublicHeaders.txt](Tools/Gpu/Licenses/NvidiaPublicHeaders.txt)。本项目没有捆绑 NVIDIA 内核驱动、GSP 固件或 CUDA 运行时；协议组件尚未接入内核，也没有实际 GPU 执行通过记录。