软件物料清单是什么？

本文目录导读：

1. 为什么需要 SBOM？（核心价值）
2. SBOM 里通常包含什么内容？
3. SBOM 的常见格式
4. 一个简单的类比
5. 如何生成和使用 SBOM？

这是一个关于软件物料清单（SBOM）的清晰解释。

一句话定义： 软件物料清单（Software Bill of Materials，简称 SBOM） 就像一个软件应用的“成分清单”或“配料表”，它详细列出了构建一个软件产品所使用到的所有组件（包括第三方库、开源软件、依赖关系及它们的版本信息）。

为什么需要 SBOM？（核心价值）

在软件开发中，现代应用很少从零开始编写，而是大量“组装”现有的开源或商业组件（用 log4j 处理日志，用 spring 框架构建 Web 服务）,这带来了两个问题：

1. 供应链安全风险：如果某个底层组件（如 log4j）被发现存在严重漏洞，没有 SBOM 的企业可能不知道自己的哪个产品使用了这个有问题的组件,从而无法快速响应。
2. 法律与合规风险：许多开源组件有特定的许可证（如 GPL、MIT）,不合规地使用可能导致法律纠纷。

SBOM 的核心价值就是解决这两个问题：

• 快速发现与修复漏洞：当出现 Log4Shell（log4j 漏洞）这样的安全事件时，拥有 SBOM 的企业可以立即扫描清单，确认哪些产品受波及,并优先修复。
• 管理知识产权与许可证：自动检查所有组件的开源许可证，确保软件整体合规,避免法律风险。
• 提升供应链透明度：让软件购买方或监管机构清楚了解最终产品中包含哪些“原材料”,增强信任。
• 版本管理与依赖管理：方便跟踪哪个版本的组件被使用,便于升级或回滚。

SBOM 里通常包含什么内容？

一个标准的 SBOM 通常会记录以下关键字段：

SBOM 的常见格式

为了让机器能自动读取和处理，SBOM 通常以结构化数据格式呈现,比较流行的标准格式有三种：

1. SPDX（Software Package Data Exchange，软件包数据交换格式）：由 Linux 基金会主导,侧重于许可证合规性。
2. CycloneDX（Cyclone Data Exchange，Cyclone数据交换格式）：由 OWASP（开放式Web应用程序安全项目）组织推动，侧重于安全性（漏洞分析）。
3. SWID（Software Identification Tag，软件标识标签）：来自国际标准 ISO/IEC 19770-2,常用于企业资产管理。

一个简单的类比

如何生成和使用 SBOM？

• 生成：现代开发工具和 CI/CD（持续集成/持续部署）流水线可以自动生成。
  • 使用 maven 或 gradle 插件（如 cyclonedx-maven-plugin）。
  • 使用专用安全工具（如 Snyk、Black Duck、GitHub Dependabot）。
• 使用：
  • 扫描漏洞：将 SBOM 上传到漏洞数据库（如 NVD、OSS Index）进行匹配。
  • 策略检查：在引入新组件前,自动检查其许可证是否符合公司规定。
  • 移交：软件供应商将 SBOM 作为交付物的一部分提供给客户。

SBOM 是现代软件供应链安全与合规管理的基石。 它并非可选的“高级功能”，而是应对层出不穷的软件漏洞（Log4j、SolarWinds 事件等）、满足监管要求（如美国第 14028 号行政令、欧盟《网络弹性法案》）以及保护企业内外部软件生态健康发展的必备工具。