cyclonedx/cyclonedx-bom-repo-server

CycloneDX BOM仓库服务器

一个用于分发CycloneDX BOM的仓库服务器。

快速开始

你可以使用Docker在本地测试：

bash
docker run --env REPO__DIRECTORY=/repo --env ALLOWEDMETHODS__GET="true" --env ALLOWEDMETHODS__POST="true" --env ALLOWEDMETHODS__DELETE="true" --tty --interactive -p 8000:80 cyclonedx/cyclonedx-bom-repo-server

如果需要在多次运行之间持久化BOM仓库存储：

bash
mkdir repo
docker run --volume "$(pwd)/repo":/repo --env REPO__DIRECTORY=/repo --env ALLOWEDMETHODS__GET="true" --env ALLOWEDMETHODS__POST="true" --env ALLOWEDMETHODS__DELETE="true" --tty --interactive -p 8000:80 cyclonedx/cyclonedx-bom-repo-server

API端点

服务器支持Swagger/Open API规范。

JSON端点为/swagger/v1/swagger.json。UI可通过/swagger/index.html访问。

以下是可用端点和方法的摘要：

注意： BOM序列号对于特定设备/软件版本应是唯一的。当更新同一软件版本的现有BOM时，序列号应保持不变，版本号应递增。因此，不支持更新现有BOM版本。当然，可以删除现有BOM版本并重新发布相同的序列号和版本，但不建议这样做。

cURL使用示例

从仓库检索BOM：

bash
curl -X GET "https://www.example.com/bom?serialNumber=urn%3Auuid%3A3e671687-395b-41f5-a30f-a58921a69b79" -H  "accept: application/vnd.cyclonedx+json; version=1.3"

向仓库添加新BOM：

bash
curl -X POST "https://www.example.com/bom" -H  "accept: */*" -H  "Content-Type: application/vnd.cyclonedx+json; version=1.3" -d "{\"bomFormat\":\"CycloneDX\",\"specVersion\":\"1.3\",\"serialNumber\":\"urn:uuid:3e671687-395b-41f5-a30f-a58921a69b79\",\"version\":1,\"components\":[{\"type\":\"library\",\"name\":\"acme-library\",\"version\":\"1.0.0\"}]}"

从仓库删除BOM：

bash
curl -X DELETE "https://www.example.com/bom?serialNumber=urn%3Auuid%3A3e671687-395b-41f5-a30f-a58921a69b79" -H  "accept: */*"

配置

服务器可通过修改appsettings.json文件或设置以下环境变量进行配置：

认证与授权

认证和授权应在Web服务器或API网关层配置。

为简化部署，可配置允许的方法，默认采用安全选项（默认禁止所有方法）。

建议部署两个BOM仓库服务器实例：

一个需要认证和额外安全控制，允许GET和POST方法以支持BOM发布。

另一个面向公众，仅启用GET方法。如有需要可配置认证。

更高级的认证和授权用例应通过API网关等解决方案处理，超出本项目范围。

注意：根据你的操作环境和风险状况，建议面向公众的实例不要求认证。这使可能与你的组织没有直接商业关系的下游消费者能够检索BOM。

系统要求

CycloneDX BOM仓库服务器设计为轻量级、高性能的BOM仓库服务器。任何生产Web服务器都应能运行它。

但存在BOM元数据的内存缓存，内存需求将根据需要缓存的BOM元数据量而变化。

所有BOM在存储前会转换为Protocol Buffer格式以提高效率。

除Docker镜像外，服务器可使用Nginx、Apache、IIS或Kestrel托管。更多信息见ASP.NET Core中的Web服务器实现文档。

高可用部署

服务器支持多个前端实例共享仓库存储，可用于完全的主/主高可用集群。

部署到多个数据中心时，建议有一个支持BOM发布的主实例，并使用数据复制到用于分发BOM的其他目标数据中心。