SBOM生成之CycloneDX

SBOM是一份信息详尽、机器可读的形式化清单，其中囊括了软件所有组件的详尽信息及它们之间的层级关系。

• 主流SBOM格式标准分别是SPDX、CycloneDX和SWID
• CycloneDX格式：是一种轻量级的标准，专为应用安全和供应链组件分析而设计，专注于提供快速、可靠的软件组件信息，而不是提供信息详尽的元数据。这使得CycloneDX在处理大型、复杂的软件项目时具有较高的性能

安装CycloneDX

PHP项目

composer global require --dev cyclonedx/cyclonedx-php-composer

# 若报错In PluginManager.php line 752:                                          
#  cyclonedx/cyclonedx-php-composer (installed globally) contains a Composer p  
#  lugin which is blocked by your allow-plugins config. You may add it to the   
#  list if you consider it safe.
# 运行以下命令解决
# composer global config --no-plugins allow-plugins.cyclonedx/cyclonedx-php-composer true

# 获取帮助
composer CycloneDX:make-sbom --help

# 生成sbom文件
composer CycloneDX:make-sbom --output-file=/workspace/projectname/reports/sbom.xml -d /workspace/projectname/
# --output-file sbom文件生成地址
# -d 指定项目目录，也就是composer.json所在目录

Node项目

# 安装
# npm方式
npm install -g @cyclonedx/cdxgen

# 获取帮助
cdxgen --help

# 生成sbom
cdxgen -r -o /workspace/projectname/reports/sbom.json

go项目

# 安装
go install github.com/CycloneDX/cyclonedx-gomod/cmd/cyclonedx-gomod@latest
#将会在gopath/bin/ 目录下生成cyclonedx-gomod可执行文件
# 生成sbom
cyclonedx-gomod app --output ./xxx.xml

cyclonedx-gomod参数介绍
参数一
app生成仅包含目标应用实际依赖的 SBOM，特别适用于跟踪最终产品的具体组成
mod提供了一个全局视角，包括了所有包所需的模块，适合用于维护和监控整个模块的依赖情况。
bin支持从二进制文件反向生成 SBOM，对于验证已有二进制发布物的成分十分有用
参数二
-output将结果输出到文件，而不是打印到控制台，默认为xml格式，
可以使用参数-json=true来输出json格式的文件

其他语言

cyclonedx全部语言库https://github.com/orgs/CycloneDX/repositories?type=all