构建与制品管理58 条

SBOM 之 SPDX 格式

SPDX 是 Linux 基金会发起的软件物料清单规范：以包、许可证、关系为核心组织信息，广泛用于合规与供应链审计。

版本	SPDX 2.x 为主流；3.0 已发布并扩展了安全相关表达
形态	标签值（Tag: Value）、JSON、YAML、RDF
核心字段	PackageName、SPDXID、VersionInfo、LicenseConcluded、Relationship

生成与检查

syft dir:. -o spdx-json > sbom.spdx.json
jq '.packages | length' sbom.spdx.json

SBOM 的消费方关心「组件清单+版本+许可证+关系」：生成时保证这四项完整。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌