SBOM的国内外标准与工具全解析

软件物料清单（Software Bill of Materials，简称 SBOM）正从一个小众技术概念迅速演进为现代软件开发和网络安全的战略基石。

本质上，SBOM 是一份结构化、机器可读的软件组件清单。 它详尽记录了构成应用程序的所有软件组件、库、框架及依赖关系。

它如同软件的『配料表』，为复杂且往往不透明的软件供应链提供了前所未有的透明度。

随着软件供应链攻击的频率与复杂度持续攀升，SBOM 已成为安全领域的焦点。

从 SolarWinds 到 Log4Shell 等重大安全事件反复证明，第三方组件中的漏洞可能引发毁灭性的连锁反应。

SBOM 通过提供有效管理和保护软件全生命周期所需的深度可见性，直接应对这一严峻挑战。

1

为何 SBOM 是软件工程管理的战略必需品

• 精准漏洞管理
   当组件发现新漏洞时，完整的 SBOM 使组织能够立即识别所有受影响的应用程序，实现快速、精准的修复响应。
• 许可证合规保障
   现代软件深度依赖开源组件，每个组件都有独特的许可条款。  SBOM 提供了许可证信息的完整记录，帮助组织规避法律风险和合规问题。
• 全面风险管控
   通过深入了解软件的来源和构成，组织能够更准确地评估和缓解风险。     这包括过时组件、不可信供应商或已知安全缺陷组件带来的风险。
• 透明度与信任构建
   向客户和合作伙伴提供 SBOM，展现对整个软件供应链透明度和安全性的坚定承诺。     这有助于建立长期信任关系。
• 审计与尽职调查简化
   在并购、监管审计等场景下，SBOM 提供了组织软件资产及相关风险的清晰、可追溯的清单。 这能大幅提升审计效率。

2

国际主流标准：SPDX 与 CycloneDX 的深度对比

SPDX 和 CycloneDX 构成了当前 SBOM 领域的『『双雄格局』』。 虽然它们的目标都是为了描述“『软件里有什么』”，但由于出身背景不同，它们的“『性格』”和擅长领域有明显的区别。 简短的结论是：

• 论“『权威性』” (Authority)： SPDX 略胜一筹，因为它是 ISO 国际标准。它在 2021 年正式成为了 ISO/IEC 5962 标准。在涉及政府合同、国际贸易、由于法律纠纷需要提交证据时，SPDX 是最正式的选择。
• 论“『广泛性』”与“『现代性』” (Adoption & Modernity)： 目前是平分秋色，但 CycloneDX 在安全领域增长更快。CycloneDX 在现代 DevSecOps 和安全工具中应用更广，因为它更轻量、更专注于网络安全。
• 法务/开源合规场景： SPDX 是绝对的主流。如果你是做嵌入式 Linux、或者在大公司做法务审核，SPDX 是首选。
• CI/CD/漏洞扫描场景： CycloneDX 占据主导。大多数现代 SCA 工具（如 Trivy, Grype）生成的默认或推荐格式往往是 CycloneDX，因为它更易于集成到自动化流水线中。

注：美国白宫发布的 EO 14028 网络安全行政令中，明确表示 SPDX 和 CycloneDX 都是可接受的格式。

不需要二选一，工具通常都支持。（工具列表见文末）

Syft、Microsoft SBOM Tool、Trivy 等主流工具都支持同时输出这两种格式。

如果你关注 “我的软件是否侵权？许可证是否冲突？” → 使用 SPDX。 如果你关注 “我的软件有哪些漏洞？如何自动化阻断风险？” → 使用 CycloneDX。

3

中国标准发展现状：国际兼容与自主创新并进

一方面，SPDX 和 CycloneDX 在中国被广泛采用，特别是在开源社区和出海业务场景中；另一方面，中国正积极推进自主可控的国家标准（GB）和行业标准（如 DSDX）的研发与推广，旨在掌握软件供应链安全的话语权。

以下是详细的现状分析：

1. 主流现状：国际标准并行 (SPDX & CycloneDX)    与全球趋势一致，中国企业和开源社区并没有彻底“二选一”，而是根据场景混用：

   因为它对漏洞（Vulnerabilities）和漏洞利用性（VEX）的描述能力更强，且 JSON 结构更轻量，适合自动化工具处理。

• 互联网大厂与安全厂商：腾讯、阿里、华为云等在 DevSecOps 流水线和漏洞扫描（SCA）产品中，更倾向于使用 CycloneDX。

• OpenHarmony
   (鸿蒙)：鸿蒙社区明确支持 SPDX 2.2 JSON 格式作为其 SBOM 的标准表达方式，用于开源许可证合规管理。
• openEuler
   (欧拉)：作为以 Linux 为核心的操作系统社区，天然亲近 Linux 基金会，因此 SPDX 在其中占据主导地位，用于描述底层软件包的版权和依赖。

• SPDX (合规与操作系统侧)：

  ISO 认证背书：由于 SPDX 是 ISO/IEC 5962 国际标准，中国的大型国企、银行在进行正式的合规审计和招投标时，往往倾向于这种具备“国际标准”身份的格式。

• CycloneDX (安全与互联网侧)

• 背景：由全国网络安全标准化技术委员会（TC260）归口，负责标准化网络安全技术。
• 内容：《网络安全技术 软件物料清单数据格式》：这是由全国网络安全标准化技术委员会（TC260）归口的国家标准（目前处于征求意见或报批阶段）。
• 目的：旨在建立一套中国统一的 SBOM 数据交换规范，避免被单一国际格式“『卡脖子』”，同时确保国内各行业数据互通。

• DSDX
   (数字供应链数据交换格式)
• 背景：由 中国信通院 (CAICT) 牵头，联合中兴通讯、蚂蚁集团、通过 OpenSCA 社区推出的国内标准。
• 特点：它试图融合 SPDX 和 CycloneDX 的优点，并专门针对中国企业的组织架构、供应链流转场景进行了字段扩展。
• 地位：目前在国内金融、通信行业的供应链安全落地实践中正在被推广。
• 国标 (TC260)：

选择策略：如何做出明智决策？

如果你是：

• 做开源 OS 或出海合规（如鸿蒙开发、汽车出口）：首选 SPDX。
• 做企业安全运营、DevSecOps 工具：首选 CycloneDX。
• 参与国企、金融、政务项目：关注 DSDX 或即将出台的国家标准（通常工具会支持一键转换）。

一句话结论：中国目前“外用 SPDX/CycloneDX，内推 DSDX/国标”。但在实际工程落地层面，CycloneDX 因为在安全工具链中的好用性，目前在技术团队中的实际使用率（Usage）可能略高于 SPDX.

未来趋势

两者正在互相学习。

• SPDX
   3.0 正在进行大改版，意图变得更模块化、更适合安全场景（试图补齐 CycloneDX 的优势）。
• CycloneDX
   1.5/1.6 也在不断增强对许可证和知识产权的描述能力。

在实际工程落地中，目前的最佳实践是：生成 SBOM 时，根据下游消费者的需求决定。如果下游是安全平台（如 Dependency-Track），用 CycloneDX；如果下游是合规审计部门，用 SPDX。

4

SBOM：从最佳实践到强制性要求的演进

采用 SBOM 已不再仅仅是最佳实践，而是逐步演变为强制性要求。

全球格局正朝着更高的软件透明度方向转变，这一趋势主要由政府法规驱动和供应链安全意识的普遍提升所推动。

SBOM 当前阶段的关键方面包括：

• 日益增长的采用率：SBOM 的使用呈显著上升趋势。

  虽然采用仍在成熟，但它正迅速从早期采用者转向主流实施，特别是在关键基础设施领域。

• 监管驱动因素：政府倡议是 SBOM 采用的主要催化剂。

  在美国，《改善国家网络安全的行政命令（the Executive Order on Improving the Nation's Cybersecurity）》是一个主要驱动因素。

  同样，欧盟的《网络弹性法案》也在推动软件供应链更高的透明度。

• 成熟的标准：为确保一致性和互操作性，SBOM 的标准化格式已经出现。

  最著名的是由 Linux Foundation 倡导的 SPDX（软件包数据交换）和 OWASP 旗舰项目 CycloneDX。

  这些标准为沟通软件组件信息提供了通用语言。

• 不断发展的工具和实践：用于生成、管理和消费 SBOM 的工具生态系统正在扩展和改进。

  组织也在开发更成熟的流程，以在软件开发生命周期（SDLC）中集成 SBOM。

  然而，与 SBOM 管理的可扩展性和工具的完全集成相关的挑战仍然是积极发展的领域。

• 成熟度模型：为指导组织的 SBOM 之旅，像网络安全和基础设施安全局（CISA）的 SBOM 成熟度模型等框架正在开发中。

  这些模型为逐步改进 SBOM 实践提供了路线图。

5

SBOM 生成与管理：十大核心工具解析

SBOM 工具生态呈现多元化格局，涵盖了开源和商业解决方案，能够满足不同场景和需求。

以下是在业界产生重要影响力的十大核心工具：

1. Syft
   ：Anchore 开发的开源命令行工具，可从容器镜像和文件系统生成 SBOM。它以易用性和灵活性而闻名。
2. CycloneDX
    Generators：一系列官方和社区支持的工具，用于为各种生态系统和构建工具生成 CycloneDX 格式的 SBOM。
3. SPDX
    SBOM Generator：一种帮助创建符合 SPDX 标准的 SBOM 的工具，支持多种包管理器和语言。
4. Fossa
   ：一个商业平台，提供全面的 SBOM 管理，包括许可证合规性和漏洞扫描，具有强大的自动化功能。
5. Trivy
   ：Aqua Security 开发的开源、多功能安全扫描器，可以在扫描容器镜像、文件系统和 Git 存储库的过程中生成 SBOM。
6. Microsoft
   's SBOM Tool：一个开源、跨平台的工具，用于生成符合 SPDX 标准的 SBOM，专为大型和复杂软件项目的高可扩展性而设计。
7. Tern
   一个开源工具，分析容器镜像以创建 SBOM，专注于提供容器内软件包的深入准确清单。
8. Jit
   一个 DevSecOps 编排平台，可在 CI/CD 管道中自动生成 SBOM，并与各种安全工具集成。
9. Sonatype Nexus Lifecycle
   一个商业软件组成分析工具，包括强大的 SBOM 生成和管理功能，专注于开源治理。
10. JFrog Xray
    一个通用软件组成分析工具，与 Artifactory 集成，提供对软件组件及其依赖项的深入可见性，包括 SBOM 生成。