流水线设计54 条

流水线生成 SBOM

构建时生成软件物料清单（SPDX/CycloneDX）并与制品同存：满足安全审计、许可证盘点与供应链溯源需求。

生成工具	syft、cdxgen、trivy、各语言生态插件
常见格式	SPDX、CycloneDX（JSON 或 Tag-Value）
归档	作为流水线制品随版本保存，或推入制品库元数据

syft 生成

syft packages registry.example.com/app:1.8.0 -o spdx-json > sbom.spdx.json
# 同时输出 CycloneDX：
syft packages dir:. -o cyclonedx-json > sbom.cdx.json

SBOM 要绑定具体制品版本（digest）才有意义，游离文件无法溯源。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌