sbomifyhub/sbomify-action

SBOM生成工具镜像

镜像概述

本Docker镜像提供了生成软件物料清单（Software Bill of Materials, SBOM）的功能，旨在帮助开发团队和组织自动化创建、管理和维护软件组件清单。SBOM是软件供应链安全的关键工具，可清晰展示软件中包含的所有依赖组件及其版本信息，支持多种行业标准格式，便于集成到开发流程中。

核心功能与特性

• 多格式支持：兼容主流SBOM格式，包括SPDX（Software Package Data Exchange）和CycloneDX
• 自动化扫描：可自动识别项目中的依赖组件（如npm、Maven、Python等包管理器的依赖）
• 轻量级设计：基于精简基础镜像构建，体积小，启动速度快
• 灵活集成：支持本地运行、CI/CD流水线集成（如GitHub Actions、GitLab CI等）
• 详细元数据：生成的SBOM包含组件名称、版本、许可证、来源URL等关键信息

使用场景

• 开发流程集成：在代码构建或测试阶段自动生成SBOM，确保依赖透明化
• 合规审计：满足供应链安全***（如US Executive Order ***）对SBOM的要求
• 漏洞管理：结合漏洞数据库，快速识别SBOM中包含的易受***组件
• 第三方组件管理：跟踪项目中引入的开源或第三方组件，管理许可证风险

使用方法与配置说明

基本使用（docker run）

bash
docker run -v /path/to/your/project:/project \
  -e SBOM_FORMAT=spdx \
  -e OUTPUT_PATH=/project/sbom.json \
  docker.xuanyuan.run/sbom-generator:latest

参数说明：

• -v /path/to/your/project:/project：挂载本地项目目录到容器内的/project路径
• -e SBOM_FORMAT：指定SBOM输出格式，可选值：spdx（默认）、cyclonedx
• -e OUTPUT_PATH：指定SBOM文件输出路径，默认值为/project/sbom.json

高级配置（环境变量）

Docker Compose示例

yaml
version: '3'
services:
  sbom-generator:
    image: docker.xuanyuan.run/sbom-generator:latest
    volumes:
      - ./my-project:/project
    environment:
      - SBOM_FORMAT=cyclonedx
      - OUTPUT_PATH=/project/sbom.xml
      - PROJECT_TYPE=npm
      - INCLUDE_DEV=true

CI/CD集成示例（GitHub Actions）

yaml
jobs:
  generate-sbom:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4
      
      - name: Generate SBOM
        run: |
          docker run -v ${{ docker.xuanyuan.run/github.workspace }}:/project \
            -e SBOM_FORMAT=spdx \
            -e OUTPUT_PATH=/project/sbom.spdx.json \
            sbom-generator:latest
      
      - name: Upload SBOM
        uses: actions/upload-artifact@v3
        with:
          name: sbom-file
          path: sbom.spdx.json

注意事项

• 确保挂载的项目目录包含依赖描述文件（如package.json、pom.xml、requirements.txt等）
• 对于大型项目，生成SBOM可能需要较长时间，建议在CI/CD流程中合理设置超时时间
• 敏感项目建议通过私有镜像仓库获取本镜像，避免依赖公共仓库的安全风险