Gobierno de proveedores

LEMN puede usar varios proveedores, incluso varios motores de charts, si resuelven capacidades distintas. Cada capacidad semantica publica mantiene una sola implementacion activa y un proveedor de registro. Nunca se importan todos los componentes ni se exponen dos Buttons/Dialog equivalentes.

Prefiere una dependencia runtime exacta. Un source snapshot exige closure transitiva completa, commit full, transforms deterministas, patches explicitos, provenance y licencia. native_lemn solo aplica a comportamiento unico sin una opcion upstream aceptable y registra warning de maintenance.

Registro obligatorio

• capability ID y export estables;
• categoria, madurez y proveedor;
• ingestion mode, version exacta/full commit e integridad;
• repo/source paths, licencia SPDX y notices;
• transforms, patches y adaptadores;
• roles semanticos de branding;
• conformance behavior/a11y/interaction/visual/SSR/bundle;
• ultima sync, estado upstream y replacement/deprecation.

No se permiten floats, short SHA, branch, copia no verificada, silent patch ni assets/examples sin derechos.

Prueba concreta de source snapshot

Tracker mapea ui.core.tracker al commit completo de Tremor ca4d588f47820ff3d514d37fa4ee08a4222dec11. El registry conserva byte por byte el componente, su closure local y metadata, junto con la licencia Apache-2.0. Un transform hasheado reutiliza el Radix HoverCard ya fijado y un patch explicito agrega solo hooks semanticos y de accesibilidad. check:snapshots detecta drift offline; sync:snapshots vuelve a leer ese mismo commit inmutable y regenera.

Flujo

Confirma el gap, compara candidatos, selecciona uno, registra origen/licencia, crea el adaptador minimo, mapea roles compilados, agrega conformance/catalogo/ UI Portal/docs/SBOM/changeset y prueba un install exacto limpio.

UI Portal Admin puede preparar proposals mediante un plan/apply least-privilege, pero no escribe el manifest ni posee un token personal. Los productos solo importan paquetes publicos @lemn-ltd/*.