ccideas/syft-bitbucket-pipe

Bitbucket Pipelines Pipe: SBOM生成器

一个轻量级Bitbucket Pipe，利用流行的https://github.com/anchore/syft?tab=readme-ov-file CLI工具为给定项目或容器镜像生成软件物料清单(SBOM)。

该项目的官方版本托管在Bitbucket。为了覆盖更广泛的用户群体，该仓库的副本也存在于https://github.com/ccideas/syft-bitbucket-pipe/%E3%80%82%E6%8B%89%E5%8F%96%E8%AF%B7%E6%B1%82(PR)%E5%BA%94%E6%8F%90%E4%BA%A4%E8%87%B3Bitbucket%E4%BB%93%E5%BA%93%EF%BC%8C%E4%B8%A4%E5%A4%84%E4%BB%A3%E7%A0%81%E5%B0%86%E4%BF%9D%E6%8C%81%E5%90%8C%E6%AD%A5%E6%9B%B4%E6%96%B0%E3%80%82

使用方法

通过Bitbucket Pipe为当前项目生成SBOM的基本用法。以下示例将生成spdx-json格式的SBOM，并存储在名为spdx_sbom.json的文件中。输出文件将被归档以便进一步处理。

yaml
pipelines:
  default:
    - step:
        name: 构建和测试
        caches:
          - node
        script:
          - npm install
          - npm test
    - step:
        name: 生成SBOM
        caches:
          - node
        script:
          - pipe: docker://ccideas/syft-bitbucket-pipe:1.0.0
            variables:
              SYFT_CMD_ARGS: '. --output spdx-json=spdx-sbom.json'
        artifacts:
          - spdx-sbom.json

变量

示例

扫描当前仓库并生成CycloneDX JSON格式的SBOM

SYFT_CMD_ARGS: '. --output cyclonedx-json=sbom-cyclonedx.json'

扫描当前仓库并生成SPDX JSON格式的SBOM

SYFT_CMD_ARGS: '. --output spdx-json=sbom-spdx.json'

扫描jar文件并生成SPDX JSON格式的SBOM

SYFT_CMD_ARGS: '<JAR文件路径> --output spdx-json=sbom-spdx.json'

扫描归档的Docker镜像并生成SPDX JSON格式的SBOM

SYFT_CMD_ARGS: '<Docker镜像归档路径> --output spdx-json=sbom-spdx.json'

你可以通过执行syft --help命令查看可用选项，以构建自定义的SYFT_CMD_ARGS字符串。

支持

如果你需要此pipe的帮助、遇到问题或有功能请求，请https://github.com/ccideas/syft-bitbucket-pipe/issues%E3%80%82

报告问题时，请包含：

• pipe的版本
• 相关日志和错误消息
• 复现步骤

致谢

此Bitbucket pipe集成了以下开源工具：

• https://github.com/anchore/syft?tab=readme-ov-file

特别感谢开发和维护这些优秀工具的团队和志愿者。