SBOM-TOOL

English | 简体中文

SBOM-TOOL 是通过源码仓库、代码指纹、构建环境、制品信息、制品内容、依赖组件等多种维度信息，为软件项目生成软件物料清单（SBOM）的一款CLI工具。

功能特性

信息采集

• 采集源代码工程信息，包括仓库地址、版本信息等
• 采集并生成代码指纹，利用一定算法生成代码指纹
• 采集工程构建依赖环境信息，包括操作系统、内核、编译器、构建工具等
• 采集工程构建的依赖组件，支持多种语言、多种包管理器的依赖采集
• 采集最终制品包信息，包括包名、类型、唯一校验码等
• 采集制品内容信息，包括文件名类型、唯一校验码等

SBOM文档

• 组装SBOM文档，基于上述采集的信息组装标准SBOM文档
• 规范格式转换，支持XSPDX、SPDX等规范，支持JSON等格式
• 规范格式校验，支持XSPDX、SPDX等规范，支持JSON等格式

代码指纹生成能力

依赖包扫描能力

现已支持以下编程语言相关的配置文件解析、二进制包解析，后续会逐步支持更多的编程语言。

软件架构

下载安装

1. 下载源码编译(需要 go 1.18 及以上版本)

   git clone git@gitee.com:JD-opensource/sbom-tool.git
   cd sbom-tool
   make
   默认生成多个系统架构的程序二进制包
   • Linux X86_64：sbom-tool-linux-amd64
   • Linux arm64：sbom-tool-linux-arm64
   • Windows X86_64：sbom-tool-windows-amd64.exe
   • Windows arm64：sbom-tool-windows-arm64.exe
   • MacOS amd64: sbom-tool-darwin-amd64
   • MacOS arm64: sbom-tool-darwin-arm64

或者通过 go install 安装

   go install gitee.com/JD-opensource/sbom-tool/cmd/sbom-tool@latest

或者通过下载二进制文件安装: SBOM-TOOL发行版

子命令说明

参数说明

SBOM文档规范与格式

XSPDX 是基于SPDX扩展的SBOM格式规范

使用示例

生成SBOM文档并指定格式

sbom-tool generate -m 4 -p ${project_path} -s ${src_path} -d ${dist_path}  -o sbom.spdx.json -f spdx-json --ignore-dirs .git  -n ${name} -v ${version} -u ${supplier} -b ${namespace}

获取工具介绍信息

sbom-tool info

更多使用案例，详见文档

开发指南

详见 开发指南文档

问题反馈&联系我们

如果在使用中遇到问题，欢迎您向我们提交ISSUE。

如何贡献

SBOM-TOOL 是一款开源的软件成分分析工具，期待您的贡献。

许可证

此项目是在 MulanPSL2 下授权的，有关详细信息，请参阅许可证文件。