ccideas/syft-bitbucket-pipe Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

Bitbucket Pipelines Pipe: SBOM生成器

一个轻量级Bitbucket Pipe，利用流行的Syft CLI工具为给定项目或容器镜像生成软件物料清单(SBOM)。

该项目的官方版本托管在Bitbucket。为了覆盖更广泛的用户群体，该仓库的副本也存在于GitHub。拉取请求(PR)应提交至Bitbucket仓库，两处代码将保持同步更新。

使用方法

通过Bitbucket Pipe为当前项目生成SBOM的基本用法。以下示例将生成spdx-json格式的SBOM，并存储在名为spdx_sbom.json的文件中。输出文件将被归档以便进一步处理。

yaml
pipelines:
  default:
    - step:
        name: 构建和测试
        caches:
          - node
        script:
          - npm install
          - npm test
    - step:
        name: 生成SBOM
        caches:
          - node
        script:
          - pipe: docker://ccideas/syft-bitbucket-pipe:1.0.0
            variables:
              SYFT_CMD_ARGS: '. --output spdx-json=spdx-sbom.json'
        artifacts:
          - spdx-sbom.json

变量

示例

扫描当前仓库并生成CycloneDX JSON格式的SBOM

SYFT_CMD_ARGS: '. --output cyclonedx-json=sbom-cyclonedx.json'

扫描当前仓库并生成SPDX JSON格式的SBOM

SYFT_CMD_ARGS: '. --output spdx-json=sbom-spdx.json'

扫描jar文件并生成SPDX JSON格式的SBOM

SYFT_CMD_ARGS: '<JAR文件路径> --output spdx-json=sbom-spdx.json'

扫描归档的Docker镜像并生成SPDX JSON格式的SBOM

SYFT_CMD_ARGS: '<Docker镜像归档路径> --output spdx-json=sbom-spdx.json'

你可以通过执行syft --help命令查看可用选项，以构建自定义的SYFT_CMD_ARGS字符串。

支持

如果你需要此pipe的帮助、遇到问题或有功能请求，请联系我们。

报告问题时，请包含：

• pipe的版本
• 相关日志和错误消息
• 复现步骤

致谢

此Bitbucket pipe集成了以下开源工具：

• syft

特别感谢开发和维护这些优秀工具的团队和志愿者。