| 形态 | JSON / XML / protobuf |
|---|---|
| 要素 | components、dependencies、services；可附 vulnerabilities 与 VEX 状态 |
| 工具 | cdxgen、syft、trivy、各语言插件均可输出 |
生成
生成
cdxgen -o sbom.cdx.json
# 或
trivy fs --format cyclonedx --output sbom.cdx.json .同一制品建议至少提供一种格式；多格式并行时以「消费方工具链」为准统一。
SBOM 之 CycloneDX 格式
OWASP 发起的轻量 SBOM 规范：以组件与依赖关系为主，扩展到漏洞（VEX）与服务模型，工具生态活跃。
易错点
- 把 SBOM 当静态文件归档后不再更新：制品重新构建后需同步再生成
- VEX 状态与扫描结果混在一起不做区分：审计时误导结论，分开管理
数据来源与参考
- CycloneDX 规范（cyclonedx.org）