生成与比对
生成与比对
syft packages dir:./app -o spdx-json > sbom.json
syft image myapp:1.0 -o cyclonedx-json > sbom-image.json
# 用 SBOM 做漏洞比对
grype sbom:./sbom.json --fail-on high| 格式 | SPDX / CycloneDX 是常用标准格式 |
|---|---|
| 用途 | 资产成分透明、供应链事件响应、许可证盘点 |
| 更新 | 每次构建重新生成并与制品一起归档 |
突发组件级事件时，有 SBOM 的团队分钟级定位影响范围，没有的团队按周盘点。