По самому файлу приложения, и надёжно: у большинства библиотек узнаваемая структура и имена, которые переименование обычно не затрагивает. Если есть исходный код, состав виден прямо в файле описания зависимостей вместе с точными версиями.
Метод не исчерпывающий, и эксперт разделяет опознанное надёжно и предположительно: часть библиотек следов не оставляет. Это важно помнить при подсчёте объёма собственного кода — вычитается не всё чужое, поэтому величина завышена в пользу подрядчика, и границу указывают вместе с числом.
Условия использования изложены в сопровождающем каждую библиотеку лицензионном документе; встречаются условия, требующие раскрытия собственного кода. Эксперт устанавливает, что подключено и каким документом сопровождается, и приводит текст; толкование условий и вывод о нарушении — за судом.