2. SBOM 标准与格式：SPDX、CycloneDX、SWID 标准对比，JSON/XML 格式解析要点

2.1 三大 SBOM 标准概述

在云原生安全运行基线核验中，SBOM 的标准化是跨工具、跨组织交换组件信息的基石。当前业界主流的三大标准分别为 SPDX、CycloneDX 和 SWID。三者在设计哲学、字段覆盖度、适用场景上存在显著差异，核验人员必须理解其核心区别，才能正确解析和验证 SBOM 证据。

2.2 标准选择策略与核验场景

在云原生运行基线核验中，不同阶段应选择不同的 SBOM 标准：

• 构建阶段（CI/CD 流水线）： 推荐 CycloneDX，因其原生支持漏洞字段和依赖树，可直接对接 Trivy、Grype 等安全扫描工具。
• 分发与部署阶段（镜像仓库、K8s）： 推荐 SPDX，因其许可证信息完整，适合合规审计与供应链溯源。
• 运行时资产盘点（CMDB、资产管理）： 推荐 SWID，因其标签结构适合企业级软件资产管理与授权验证。

2.3 JSON 与 XML 格式解析要点

三大标准均支持 JSON 和 XML 序列化格式，但云原生生态更倾向于 JSON。核验人员需掌握以下解析要点：

2.3.1 JSON 格式解析要点

• 根对象标识： SPDX 的 JSON 根对象包含 spdxVersion 和 dataLicense；CycloneDX 包含 bomFormat 和 specVersion；SWID 的 JSON 根对象为 software_identification。
• 组件列表路径： SPDX 的组件在 packages 数组；CycloneDX 在 components 数组；SWID 在 software_identification.software_identity 数组。
• 依赖关系表示： SPDX 使用 relationships 数组，每个关系包含 spdxElementId、relatedSpdxElement、relationshipType；CycloneDX 使用 dependencies 数组，每个依赖包含 ref 和 dependsOn 数组。
• 漏洞信息（仅 CycloneDX）： 位于 vulnerabilities 数组，每个漏洞包含 id、source、ratings、affects 等字段。

// SPDX JSON 示例（组件与关系片段）
{
  "spdxVersion": "SPDX-2.3",
  "dataLicense": "CC0-1.0",
  "packages": [
    {
      "SPDXID": "SPDXRef-Package-1",
      "name": "openssl",
      "versionInfo": "1.1.1k",
      "supplier": "Organization: OpenSSL Foundation",
      "checksums": [
        {
          "algorithm": "SHA256",
          "checksumValue": "a0b1c2d3e4f5..."
        }
      ]
    }
  ],
  "relationships": [
    {
      "spdxElementId": "SPDXRef-DOCUMENT",
      "relatedSpdxElement": "SPDXRef-Package-1",
      "relationshipType": "DESCRIBES"
    }
  ]
}

// CycloneDX JSON 示例（组件与漏洞片段）
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "log4j-core",
      "version": "2.14.1",
      "purl": "pkg:maven/org.apache.logging.log4j/log4j-core@2.14.1",
      "bom-ref": "pkg:maven/org.apache.logging.log4j/log4j-core@2.14.1"
    }
  ],
  "vulnerabilities": [
    {
      "id": "CVE-2021-44228",
      "source": {
        "name": "NVD",
        "url": "https://nvd.nist.gov/vuln/detail/CVE-2021-44228"
      },
      "ratings": [
        {
          "severity": "critical",
          "score": 10.0
        }
      ],
      "affects": [
        {
          "ref": "pkg:maven/org.apache.logging.log4j/log4j-core@2.14.1"
        }
      ]
    }
  ]
}

2.3.2 XML 格式解析要点

• 命名空间（Namespace）： SPDX XML 使用 http://spdx.org/rdf/terms#；CycloneDX 使用 http://cyclonedx.org/schema/bom/1.5；SWID 使用 http://standards.iso.org/iso/19770/-2/2015/schema.xsd。解析时必须正确声明命名空间。
• XPath 常用路径： SPDX 组件路径 /rdf:RDF/spdx:Package；CycloneDX 组件路径 /bom:components/bom:component；SWID 标签路径 /swid:SoftwareIdentity。
• 属性 vs 元素： SPDX 和 CycloneDX 倾向于使用元素嵌套；SWID 大量使用 XML 属性（如 name、version、tagId），解析时需注意区分。

<!-- SPDX XML 示例 -->
<rdf:RDF xmlns:rdf="http://www.w3.org/1999/02/22-rdf-syntax-ns#"
         xmlns:spdx="http://spdx.org/rdf/terms#">
  <spdx:Package rdf:about="http://spdx.org/spdxdocs/openssl-1.1.1k">
    <spdx:name>openssl</spdx:name>
    <spdx:versionInfo>1.1.1k</spdx:versionInfo>
    <spdx:checksum>
      <spdx:Checksum>
        <spdx:algorithm rdf:resource="http://spdx.org/rdf/terms#checksumAlgorithm_sha256"/>
        <spdx:checksumValue>a0b1c2d3e4f5...</spdx:checksumValue>
      </spdx:Checksum>
    </spdx:checksum>
  </spdx:Package>
</rdf:RDF>

<!-- CycloneDX XML 示例 -->
<bom xmlns="http://cyclonedx.org/schema/bom/1.5"
     serialNumber="urn:uuid:3e671687-395b-41f5-a30f-a58921a69b79"
     version="1">
  <components>
    <component type="library">
      <name>log4j-core</name>
      <version>2.14.1</version>
      <purl>pkg:maven/org.apache.logging.log4j/log4j-core@2.14.1</purl>
    </component>
  </components>
</bom>

2.4 SBOM 标准对比与格式选择流程图

下图展示了在云原生运行基线核验中，如何根据核验目标选择 SBOM 标准与序列化格式：

2.5 核验排障路径：标准与格式常见问题

在 SBOM 核验过程中，标准与格式相关的问题是最常见的排障入口。以下列出典型问题及解决路径：

2.6 标准互转与工具链集成

在实际核验中，常遇到需要将 SBOM 在不同标准间转换的场景。以下是常用工具与转换要点：

• Syft： 支持生成 SPDX 和 CycloneDX 格式的 SBOM，可通过 --output 参数指定格式。
• Trivy： 支持 CycloneDX 格式输出，可通过 --format cyclonedx 生成。
• SPDX Tools： 官方提供的 Java 工具集，支持 SPDX 与 CycloneDX 之间的转换。
• Dependency-Track： 支持导入 SPDX 和 CycloneDX，并提供统一的漏洞分析视图。