2. SBOM 基础概念：SPDX 与 CycloneDX 标准对比、SBOM 字段详解

SBOM（Software Bill of Materials，软件物料清单）是云原生灾备准入策略评审的核心证据载体。理解 SBOM 的标准化格式与核心字段，是实施声明式管理的前提。目前业界主流标准为 SPDX 与 CycloneDX，两者在设计哲学、字段覆盖与使用场景上存在显著差异。

2.1 SPDX 与 CycloneDX 标准对比

SPDX（Software Package Data Exchange）由 Linux 基金会主导，侧重于许可证合规与法律审计；CycloneDX 由 OWASP 社区推动，更关注安全漏洞与供应链风险。下表从多个维度进行对比：

2.2 SBOM 核心字段详解

无论采用哪种标准，SBOM 均包含一组核心字段，用于描述组件的身份、版本、许可证与依赖关系。以下以 CycloneDX JSON 格式为例，逐字段解析：

2.2.1 组件标识（Component Identity）

每个组件必须具有全局唯一标识。在 CycloneDX 中，使用 bom-ref 作为内部引用 ID，purl（Package URL）作为外部标准化标识。

{
  "bom-ref": "pkg:docker/nginx@1.25.3?arch=amd64",
  "type": "container",
  "name": "nginx",
  "version": "1.25.3",
  "purl": "pkg:docker/nginx@1.25.3?arch=amd64"
}

2.2.2 许可证信息（License Information）

许可证字段是合规审计的核心证据。CycloneDX 支持 SPDX 标准许可证 ID 与自定义命名表达式。

"licenses": [
  {
    "license": {
      "id": "BSD-2-Clause",
      "name": "BSD 2-Clause \"Simplified\" License",
      "url": "https://opensource.org/licenses/BSD-2-Clause"
    }
  },
  {
    "expression": "MIT AND Apache-2.0"
  }
]

2.2.3 依赖关系（Dependency Graph）

依赖关系是构建灾备影响分析的基础。CycloneDX 使用 dependencies 数组表达组件间的依赖树，支持传递依赖的显式声明。

"dependencies": [
  {
    "ref": "pkg:docker/nginx@1.25.3",
    "dependsOn": [
      "pkg:deb/debian/bullseye/libc6@2.31-13",
      "pkg:deb/debian/bullseye/openssl@1.1.1w"
    ]
  },
  {
    "ref": "pkg:deb/debian/bullseye/libc6@2.31-13",
    "dependsOn": [
      "pkg:deb/debian/bullseye/glibc-common@2.31-13"
    ]
  }
]

2.2.4 哈希与校验（Hashes & Evidence）

哈希字段用于验证组件完整性，是灾备恢复中“证据链”的关键环节。SBOM 应包含至少一种哈希算法（推荐 SHA-256 或 SHA-512）。

"hashes": [
  {
    "alg": "SHA-256",
    "content": "a3b2c1d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2"
  }
]

2.3 SBOM 字段在灾备准入中的映射关系

下表将 SBOM 核心字段映射到云原生灾备准入策略的评审维度，帮助审计人员快速定位证据点：