2、SBOM生成工具概览：开源工具与商业工具对比

说到SBOM生成工具，我见过不少团队一上来就纠结「用哪个」。其实说白了，工具没有绝对的好坏，关键看你的场景。今天我就把市面上主流的几款工具掰开揉碎讲一讲。

我个人习惯把工具分成两类：开源的和商业的。开源工具灵活、免费，但需要自己折腾；商业工具省心、有售后，但得掏钱。咱们先看开源阵营。

2.1 开源工具三剑客：Syft、Trivy、SPDX Tools

这三款是我在实际项目中用得最多的。它们各有侧重，但都能生成标准的SBOM。

2.1.1 Syft：专为SBOM而生的「扫描器」

Syft是Anchore公司开源的工具，它的定位非常纯粹——只做一件事：从容器镜像和文件系统中提取软件包清单。

我记得有一次帮客户做容器安全审计，他们的Java应用镜像有2GB大。用Syft扫描，只用了8秒就生成了完整的SPDX格式SBOM。嗯，当时客户都惊了。

基本用法很简单：

# 扫描本地镜像
syft packages nginx:latest -o spdx-json

# 扫描文件系统
syft packages /path/to/project -o cyclonedx-json

# 输出到文件
syft packages alpine:latest -o spdx-json=sbom.spdx.json

2.1.2 Trivy：全能型安全扫描器

Trivy是Aqua Security家的产品。它本来是个漏洞扫描器，后来也加入了SBOM生成能力。你想想看，一个工具能同时做漏洞扫描和SBOM生成，多省事。

Trivy生成SBOM的命令：

# 生成CycloneDX格式SBOM
trivy image --format cyclonedx --output result.cdx.json nginx:latest

# 生成SPDX格式
trivy image --format spdx-json --output result.spdx.json nginx:latest

# 扫描文件系统并生成SBOM
trivy filesystem --format spdx-json /path/to/project

Trivy的SBOM生成能力其实依赖于底层的Syft库。但它的优势在于「一站式」——你不需要先跑Syft再跑Trivy，一个命令搞定。

2.1.3 SPDX Tools：标准制定者的官方工具

SPDX Tools是Linux基金会SPDX工作组官方维护的工具集。它更像一个「工具箱」，而不是单一工具。

我曾经在参与一个政府项目时，客户明确要求SBOM必须用SPDX Tools生成，因为它是官方工具，合规性上更让人放心。

基本用法：

# 生成SPDX文档（Java命令）
java -jar spdx-tools-jar-with-dependencies.jar \
  GenerateVerificationCode \
  -f /path/to/project \
  -o verification.code

# 转换格式
java -jar spdx-tools-jar-with-dependencies.jar \
  Convert \
  -i input.spdx \
  -o output.json

2.2 商业工具：企业级的选择

商业工具我接触过几款，这里挑两个有代表性的说说。

工具	厂商	核心优势	适用场景
Snyk	Snyk Ltd.	SBOM + 漏洞管理 + 策略引擎	DevSecOps全流程
Black Duck	Synopsys	许可证合规 + 代码溯源	法务合规审计
FOSSA	FOSSA Inc.	许可证管理 + SBOM导出	开源合规管理
Anchore Enterprise	Anchore	Syft + Grype + 策略引擎	容器安全全链路

商业工具最大的好处是什么？省心。你不用自己搭平台、不用写脚本、不用处理格式兼容问题。但代价就是贵——Snyk一个团队一年下来几万美金很正常。

2.3 开源 vs 商业：怎么选？

我画了一张对比图，帮你快速决策：

2.4 我的推荐组合

如果你问我个人怎么选，我会说：

• 日常开发调试： Syft，轻量快速，命令简单
• CI/CD流水线： Trivy，一个工具搞定SBOM和漏洞扫描
• 合规审计场景： SPDX Tools + 商业工具（如Black Duck）做双重验证
• 企业级全链路： Anchore Enterprise 或 Snyk，省心省力