license checker problems with SPDX expressions AND / OR

[jayvdb]

These should be excluded

> osv-scanner --experimental-licenses MIT,ISC,Apache-2.0,BSD-3-Clause,BSD-2-Clause,CC0-1.0,BlueOak-1.0.0,CC-BY-3.0 --lockfile pnpm-lock.yaml
╭─────────────────────────┬───────────┬──────────────────────────────────┬──────────────┬────────────────╮
│ LICENSE VIOLATION       │ ECOSYSTEM │ PACKAGE                          │ VERSION      │ SOURCE         │
├─────────────────────────┼───────────┼──────────────────────────────────┼──────────────┼────────────────┤

│ Apache-2.0 AND MIT      │ npm       │ @swc/core-darwin-arm64           │ 1.7.26       │ pnpm-lock.yaml │
│ Apache-2.0 AND MIT      │ npm       │ @swc/core-darwin-x64             │ 1.7.26       │ pnpm-lock.yaml │
│ Apache-2.0 AND MIT      │ npm       │ @swc/core-linux-arm64-gnu        │ 1.7.26       │ pnpm-lock.yaml │
│ Apache-2.0 AND MIT      │ npm       │ @swc/core-linux-arm64-musl       │ 1.7.26       │ pnpm-lock.yaml │
│ Apache-2.0 AND MIT      │ npm       │ @swc/core-linux-x64-gnu          │ 1.7.26       │ pnpm-lock.yaml │
│ Apache-2.0 AND MIT      │ npm       │ @swc/core-linux-x64-musl         │ 1.7.26       │ pnpm-lock.yaml │
│ Apache-2.0 AND MIT      │ npm       │ @swc/core-win32-arm64-msvc       │ 1.7.26       │ pnpm-lock.yaml │
│ Apache-2.0 AND MIT      │ npm       │ @swc/core-win32-ia32-msvc        │ 1.7.26       │ pnpm-lock.yaml │
│ Apache-2.0 AND MIT      │ npm       │ @swc/core-win32-x64-msvc         │ 1.7.26       │ pnpm-lock.yaml │
...
│ CC0-1.0 OR MIT          │ npm       │ type-fest                        │ 0.13.1       │ pnpm-lock.yaml │
│ CC0-1.0 OR MIT          │ npm       │ type-fest                        │ 0.20.2       │ pnpm-lock.yaml │
│ CC0-1.0 OR MIT          │ npm       │ type-fest                        │ 0.21.3       │ pnpm-lock.yaml │
│ CC0-1.0 OR MIT          │ npm       │ type-fest                        │ 1.4.0        │ pnpm-lock.yaml │
│ CC0-1.0 OR MIT          │ npm       │ type-fest                        │ 2.13.0       │ pnpm-lock.yaml │
│ CC0-1.0 OR MIT          │ npm       │ type-fest                        │ 2.19.0       │ pnpm-lock.yaml │
│ CC0-1.0 OR MIT          │ npm       │ type-fest                        │ 3.13.1       │ pnpm-lock.yaml │
│ CC0-1.0 OR MIT          │ npm       │ type-fest                        │ 4.26.1       │ pnpm-lock.yaml │

And this workaround doesnt work

> osv-scanner --experimental-licenses "MIT,ISC,Apache-2.0,BSD-3-Clause,BSD-2-Clause,CC0-1.0,BlueOak-1.0.0,CC-BY-3.0,Apache-2.0 AND MIT,CC0-1.0 OR MIT" --lockfile pnpm-lock.yaml
--experimental-licenses requires comma-separated spdx licenses. The following license(s) are not recognized as spdx: Apache-2.0 AND MIT,CC0-1.0 OR MIT