软件物料清单 (SBOM)

警告

此功能为实验性功能，可能会有破坏性更改。更多信息请参阅Conan 稳定性部分。

软件物料清单 (SBOM) 是一份列出构成特定软件的所有组件、库、依赖项和其他元素的文档。类似于制造业中详细说明产品所需零件和材料的物料清单，SBOM 提供了关于应用程序或软件系统“内部”所含内容的透明度。

Conan 允许您通过使用已解析的依赖关系图本地生成 SBOM。这样，您可以在构建程序的同时创建其 SBOM。

此功能仅支持 CycloneDX 1.4 和 1.6 版本。如果您需要不同的标准、其他版本，或者遇到任何潜在的改进，请随时在我们的 GitHub 上提出问题。我们非常乐意听取您的反馈！

CycloneDX

Conan 开箱即用地支持 CycloneDX，它是 SBOM 最广泛使用的标准之一。

CycloneDX 工具在 conan.tools.sbom.cyclonedx 模块中可用。它提供了 cyclonedx_1_4 和 cyclonedx_1_6 函数，这些函数接收一个 conanfile 并返回一个包含 CycloneDX JSON 格式的 SBOM 数据的字典。

使用此功能就像在您的客户端中实现一个 hook (钩子) 一样简单，该 hook 使用此工具创建 SBOM 并将其存储在适当的位置。

使用示例

让我们看两个示例

在第一个示例中，我们希望在创建应用程序时，即在 package 方法之后生成 SBOM。这对于跟踪构建软件所使用的组件和依赖项非常有用。在此示例中，我们将生成的 SBOM 保存在包元数据文件夹中，以保持项目井然有序。

import json
import os
from conan.api.output import ConanOutput
from conan.tools.sbom.cyclonedx import cyclonedx_1_6

def post_package(conanfile, **kwargs):
    sbom_cyclonedx_1_6 = cyclonedx_1_6(conanfile)
    metadata_folder = conanfile.package_metadata_folder
    file_name = "sbom.cdx.json"
    with open(os.path.join(metadata_folder, file_name), 'w') as f:
        json.dump(sbom_cyclonedx_1_6, f, indent=4)
    ConanOutput().success(f"CYCLONEDX CREATED - {conanfile.package_metadata_folder}")

另请参阅

在第二个示例中，我们在 generate 方法之后生成 SBOM。这允许我们在从 Conan 安装依赖项时创建 SBOM。这对于为我们依赖项的不同版本生成 SBOM 非常有用。请注意，这次我们将 SBOM 保存到 generators 文件夹中，以便安装依赖项的用户可以轻松访问 SBOM。

import json
import os
from conan.api.output import ConanOutput
from conan.tools.sbom.cyclonedx import cyclonedx_1_6

def post_generate(conanfile, **kwargs):
    sbom_cyclonedx_1_6 = cyclonedx_1_6(conanfile)
    generators_folder = conanfile.generators_folder
    file_name = "sbom.cdx.json"
    os.mkdir(os.path.join(generators_folder, "sbom"))
    with open(os.path.join(generators_folder, "sbom", file_name), 'w') as f:
        json.dump(sbom_cyclonedx_1_6, f, indent=4)
    ConanOutput().success(f"CYCLONEDX CREATED - {conanfile.generators_folder}")

两种 hook (钩子) 可以并存，这样我们就可以分别为我们的应用程序和依赖项生成 SBOM。这可以极大地帮助我们对开发过程进行持续分析并确保软件质量。

另请参阅

生成基于 Conan 的 SBOM

除了使用标准，我们还可以采取“基于 Conan 的方法”。借助 conanfile.subgraph.serialize() 函数，我们可以直接获取有关包依赖项的信息。在以下示例中，我们可以看到一个 hook (钩子) 生成一个简化的 SBOM，该 SBOM 由子图的序列化组成，其中包含 Conan 关于特定依赖项的所有数据。请注意，此序列化不是标准的 SBOM 格式，并且没有以任何方式标准化。该信息类似于 conan graph info ... --format=json 命令提供的信息。

import json
import os
from conan.api.output import ConanOutput

def post_package(conanfile, **kwargs):
    metadata_folder = conanfile.package_metadata_folder
    file_name = "sbom.conan.json"
    with open(os.path.join(metadata_folder, file_name), 'w') as f:
        json.dump(conanfile.subgraph.serialize(), f, indent=2)
    ConanOutput().success(f"CONAN SBOM CREATED - {conanfile.package_metadata_folder}")

Artifactory 构建信息

使用 Conan，您还可以选择创建“构建信息”，它提供了有关在您的 Artifactory 中生成的构建的详细信息。它允许您查看（除其他外）创建构建所需的版本历史、工件、模块和依赖项。

它是一个专注于 Artifactory 内部流程的 SBOM，非常适合在二进制文件的生命周期中维护可追溯性。

不幸的是，它在 Conan 中不原生可用，因此需要从 conan-extensions 安装该命令。您可以在下面的链接中找到更多信息。

另请参阅