cyclonedx/cyclonedx-node

CycloneDX Node.js SBOM生成器镜像

镜像概述

本Docker镜像提供从Node.js（npm）项目生成CycloneDX格式软件物料清单（SBOM）的能力。CycloneDX是轻量级SBOM标准，用于全面记录软件组件及依赖关系，支持软件供应链安全管理、漏洞追踪和合规性检查。

核心功能与特性

• Node.js生态支持：专为npm包管理器设计，准确解析package.json和node_modules依赖树
• CycloneDX标准兼容：生成符合CycloneDX规范的SBOM，支持最新标准版本
• 多格式输出：支持JSON和XML两种输出格式，满足不同场景需求
• 依赖深度分析：递归解析项目依赖树，包含直接和间接依赖关系
• 轻量级设计：基于精简基础镜像，降低部署资源消耗
• 易于集成：可无缝集成到CI/CD流程或本地开发环境

使用场景与适用范围

• 开发环境：本地开发过程中生成SBOM，提前识别依赖组件风险
• CI/CD集成：在持续集成/部署流程中自动生成SBOM，作为软件发布的一部分
• 安全审计：为安全团队提供完整依赖组件清单，支持漏洞扫描和风险评估
• 合规检查：满足软件供应链安全相关***（如SBOM强制要求）的合规性需求
• 第三方组件管理：跟踪项目中使用的开源组件及其许可信息

使用方法与配置说明

基本使用（docker run）

将Node.js项目目录挂载到容器中，执行SBOM生成命令：

bash
docker run --rm -v $(pwd):/app -w /app [镜像名称] --output sbom.json

参数说明：

• -v $(pwd):/app：将当前目录（Node.js项目根目录）挂载到容器内的/app目录
• -w /app：设置工作目录为/app（项目根目录）
• --output sbom.json：指定输出SBOM文件路径和名称

生成XML格式SBOM

bash
docker run --rm -v $(pwd):/app -w /app [镜像名称] --output sbom.xml --format xml

包含开发依赖

默认仅包含生产依赖，如需包含开发依赖（devDependencies）：

bash
docker run --rm -v $(pwd):/app -w /app [镜像名称] --output sbom.json --include-dev

配置参数详解

docker-compose集成示例

创建docker-compose.yml文件：

yaml
version: '3'
services:
  sbom-generator:
    image: [镜像名称]
    volumes:
      - ./:/app
    working_dir: /app
    command: --output sbom.json --format json

执行生成命令：

bash
docker-compose run --rm sbom-generator

注意事项

• 确保挂载的Node.js项目包含package.json文件和已安装的依赖（node_modules目录）
• 对于私有npm仓库，需通过环境变量NPM_CONFIG_REGISTRY配置仓库地址
• 生成大型项目SBOM时，建议增加容器内存限制以避免解析过程中内存不足