软件物料清单是什么？

wen 网络安全 2026-07-21 2

本文目录导读：

软件物料清单是什么？

这是一个关于软件物料清单（SBOM）的清晰解释。

一句话定义： 软件物料清单（Software Bill of Materials，简称 SBOM） 就像一个软件应用的“成分清单”或“配料表”，它详细列出了构建一个软件产品所使用到的所有组件（包括第三方库、开源软件、依赖关系及它们的版本信息）。

为什么需要 SBOM？（核心价值）

在软件开发中，现代应用很少从零开始编写，而是大量“组装”现有的开源或商业组件（用 log4j 处理日志，用 spring 框架构建 Web 服务）,这带来了两个问题：

供应链安全风险：如果某个底层组件（如 log4j）被发现存在严重漏洞，没有 SBOM 的企业可能不知道自己的哪个产品使用了这个有问题的组件,从而无法快速响应。
法律与合规风险：许多开源组件有特定的许可证（如 GPL、MIT）,不合规地使用可能导致法律纠纷。

SBOM 的核心价值就是解决这两个问题：

快速发现与修复漏洞：当出现 Log4Shell（log4j 漏洞）这样的安全事件时，拥有 SBOM 的企业可以立即扫描清单，确认哪些产品受波及,并优先修复。
管理知识产权与许可证：自动检查所有组件的开源许可证，确保软件整体合规,避免法律风险。
提升供应链透明度：让软件购买方或监管机构清楚了解最终产品中包含哪些“原材料”,增强信任。
版本管理与依赖管理：方便跟踪哪个版本的组件被使用,便于升级或回滚。

一个标准的 SBOM 通常会记录以下关键字段：

为了让机器能自动读取和处理，SBOM 通常以结构化数据格式呈现,比较流行的标准格式有三种：

SPDX（Software Package Data Exchange，软件包数据交换格式）：由 Linux 基金会主导,侧重于许可证合规性。
CycloneDX（Cyclone Data Exchange，Cyclone数据交换格式）：由 OWASP（开放式Web应用程序安全项目）组织推动，侧重于安全性（漏洞分析）。
SWID（Software Identification Tag，软件标识标签）：来自国际标准 ISO/IEC 19770-2,常用于企业资产管理。

场景	对于...	它的“成分清单”是...
食品	一包薯片	配料表：马铃薯、植物油、盐、香精...
制药	一片感冒药	药品说明书成分：对乙酰氨基酚、伪麻黄碱、氯苯那敏...
软件	一个手机 App	SBOM：`org.springframework:5.3.20`、`com.google.guava:31.1-jre`...

生成：现代开发工具和 CI/CD（持续集成/持续部署）流水线可以自动生成。
- 使用 maven 或 gradle 插件（如 cyclonedx-maven-plugin）。
- 使用专用安全工具（如 Snyk、Black Duck、GitHub Dependabot）。
使用：
- 扫描漏洞：将 SBOM 上传到漏洞数据库（如 NVD、OSS Index）进行匹配。
- 策略检查：在引入新组件前,自动检查其许可证是否符合公司规定。
- 移交：软件供应商将 SBOM 作为交付物的一部分提供给客户。

SBOM 是现代软件供应链安全与合规管理的基石。 它并非可选的“高级功能”，而是应对层出不穷的软件漏洞（Log4j、SolarWinds 事件等）、满足监管要求（如美国第 14028 号行政令、欧盟《网络弹性法案》）以及保护企业内外部软件生态健康发展的必备工具。