汽车配件SBOM交付格式及规范

汽车配件SBOM交付格式及规范 企业可以通过各种不同的格式创建和发布软件物料清单(SBOM)。对于一个想要在其网站发布 SBOM 的企业来说，HTML 是一个合理的选择。如果 SBOM 中包含了文档或者源代码，那么纯文本也许是更佳选项。此外，还有 Markdown、PDF、CSV等格式可供使用。

除了这些常见的格式外，还有几种专门为交付SBOM而设计的格式，如 SPDX(软件包数据交换)，SWID Tags(软件识别)以及Cyclone DX。

SPDX

SPDX是由 Linux 基金会运营的项目，旨在标准化企业共享和使用SBOM中信息的方式。SPDX 捕捉与provenance、许可证和安全相关的数据，下图展示了 SPDX 文档中所包含的数据：

该格式支持以下文件类型：

YAML

JSON(你可以在 GitHub 上找到SPDX的JSON schema：https://github.com/spdx/spdx-spec/tree/development/v2.2.1/schemas)

RDF/XML

tag:value flat text file

.xls 电子表格

Seal 软件供应链防火墙可以直接生成SPDX格式的SBOM文件，欢迎访问下方链接申请产品试用： seal.io/trail

SWID Tags

SWID 是一个标准化的 XML 格式，可以识别软件产品的组成部分并将其与上下文结合。4种类型的 SWID Tags 在软件开发生命周期中：

Corpus Tags： 识别和描述在安装前阶段的软件成分。根据 NIST 给出的定义，corpus tags 是指“软件安装工具和流程的输入”

Primary Tags： 在软件产品安装后对其进行识别和关联

Patch Tags： 顾名思义，patch tags 可以识别和描述补丁(而不是核心产品本身)。此外，patch tags 包含了补丁和其他产品或补丁之间的上下文关系信息。

Supplemental Tags： SWID 格式仅允许 tag 创建者修改 corpus、primary和patch tags。但是 Supplemental Tags 可以让软件用户及软件管理工具在本地添加有益的上下文信息，如许可证密钥以及相关方的联系信息。

在决定将哪些标签和具体的数据元素纳入其产品时，各企业有一定程度的灵活性。在SWID规范中，除了几个必须的字段外，其他的元素和属性都是可选的。

最终，一个最低限度的有效和符合要求的标签只需要描述软件产品(如名称和标签ID)和创建它的实体的少数元素。

Cyclone DX

Cyclone DX 是一个轻量级软件物料清单标准，旨在用于应用安全上下文和供应链组件分析。换言之，它旨在实现与SPDX、SWID以及其他所有SBOM交付格式类似的目标——提供构成一个应用程序的软件组件的关键信息。

Cyclone DX 支持以下4种类型的数据：

物料清单元数据： 关于应用/产品本身的信息——供应商、制造商、SBOM所面熟的组件以及用于汇编SBOM的任意工具

组件： 完整的专利清单及开源组件清单，包含许可信息

服务信息： 软件可能调用的外部API、终端URI、身份认证要求和信任名单

依赖项： 包含直接依赖项和间接依赖项