SBOM：给软件也配一张配料表

发布时间:2025-12-14 08:27

买食品看配料表，买软件呢？绝大多数企业说不清自己的业务系统里装了哪些开源组件。SBOM（软件物料清单）想解决的正是这个问题——给软件也配一张配料表。 一、配料表里有什么 一份 SBOM 列出软件包含的全部组件、版本与依赖关系，常见格式有 SPDX 和 CycloneDX 两种开放标准。现代软件大量复用开源组件，一个底层加密库或压缩库出漏洞，上面所有业务都可能受牵连。组件名只差一个字符、版本号只差一位小数，风险就完全不同，人工核对几乎必然出错，这正是需要机器可读清单的原因。没有清单，排查全靠翻代码、碰运气；有清单，就是查表的事。 二、漏洞通告来了怎么对号 新漏洞通告发布后，把受影响的组件名和版本区间与 SBOM 比对，几分钟能确定自家系统"中不中招"、影响哪些业务。更进一步，生成工具可以直接嵌进构建流水线，每次发版自动输出清单并归档，历史版本用的是哪些组件也有据可查。漏洞响应从"全员翻代码"变成"按表定位"，应急的黄金时间就抢回来了。清单里连许可证信息一起记录，还能提前发现开源许可证的合规隐患。 三、交付与采购环节的要求 一些行业和政府采购已经开始要求交付物附带 SBOM。企业采购软件时，也可以主动把"提供 SBOM、重大漏洞限时响应"写进合同条款——供应商愿不愿意接这一条，本身就是筛选交付质量的一面镜子。 四、从哪一步开始做 手写清单不现实，用工具从项目依赖文件自动生成即可，构建时顺手执行，不增加额外负担。建议先给直接对外的业务系统做，再覆盖内部系统；清单文件进代码仓库，随版本一起管理，升级组件时顺手更新。 配料表越全，出事时需要翻找的范围就越小。这件事平时看不出价值，价值全在出事那一刻。