Эксперт может установить, какие библиотеки входят в продукт, определить их версии, изучить сведения о происхождении и доступные тексты лицензий. Проверяют исходники, зависимости, состав поставки и способы включения компонентов. Само по себе использование открытого кода ещё не свидетельствует о нарушении закона. Автоматически найденное название библиотеки также нужно проверить: оно может относиться к тестовой зависимости или компоненту, который не попал в поставку.
Правовые последствия зависят от конкретной лицензии, версии, способа использования и распространения, документов о правах. Их оценивает юрист или суд, опираясь в том числе на технические сведения. Назвать компонент «нелегальным» можно лишь после правовой оценки. Для первого обращения достаточно описания задачи и перечня доступных материалов без секретных данных. Способ передачи исходников, зависимостей, исполняемых файлов и документов согласуйте отдельно. Вопросы о контрафактности подробнее разобраны в разделе об исследовании контрафактного ПО.