📚 课程目录第2章 SBOM核心标准与格式

2. SBOM 核心标准与格式：SPDX、CycloneDX、SWID 标签介绍与对比

聊 SBOM，绕不开三个核心格式：SPDX、CycloneDX 和 SWID 标签。

我刚开始接触物联网安全那会儿，也搞不清它们到底有啥区别。说白了，它们都是描述软件成分的“清单语言”，但出身不同，侧重点也完全不一样。今天咱们就把这三个家伙掰开揉碎了讲清楚。

2.1 为什么需要标准格式？

你想想看，如果每个厂商都用自己的 Excel 表格来记录软件成分，那上下游怎么对接？

我曾经在一个智能家居项目里，收到供应商发来的“SBOM”——一个 PDF 文件。里面手写了几个库的名字，版本号还写错了。这种“伪 SBOM”根本没法用。

标准格式的价值就在于：机器可读、结构统一、语义明确。有了标准，工具才能自动解析、比对、生成，安全团队才能快速响应漏洞。

核心观点：没有标准格式的 SBOM，就像没有通用插头的充电器——看着像，用不了。

2.2 SPDX：最老牌的“软件物料清单”标准

SPDX（Software Package Data Exchange）由 Linux 基金会主导，最早是为了解决开源许可证合规问题。现在它已经是 ISO/IEC 5962 国际标准了。

2.2.1 SPDX 的核心能力

包信息（Package Information）：记录每个组件的名称、版本、下载地址、校验和。
许可证信息（License Information）：这是 SPDX 的看家本领。它能精确描述“文件级”的许可证，甚至能处理“不同文件不同许可证”的复杂情况。
文件级别追踪（File Level）：可以精确到每个文件的版权声明和贡献者。
关系描述（Relationships）：描述包之间的依赖关系，比如 DESCRIBES、CONTAINS、DEPENDS_ON。

2.2.2 SPDX 的格式

SPDX 支持多种序列化格式：RDF/XML、Tag:Value（纯文本）、JSON、YAML、XLSX。我个人习惯用 JSON 格式，解析方便，工具支持也好。

我的经验：在物联网网关项目中，我们用 SPDX 2.3 格式管理了 200 多个开源组件。许可证合规这块，SPDX 确实是最靠谱的。尤其是那些“GPL 传染性”问题，SPDX 的文件级标注帮我们避免了好几次法律风险。

2.2.3 SPDX 示例（JSON 片段）

{
  "spdxVersion": "SPDX-2.3",
  "dataLicense": "CC0-1.0",
  "SPDXID": "SPDXRef-DOCUMENT",
  "name": "IoT-Gateway-SBOM",
  "packages": [
    {
      "SPDXID": "SPDXRef-Package-OpenSSL",
      "name": "OpenSSL",
      "versionInfo": "1.1.1t",
      "supplier": "Organization: OpenSSL Foundation",
      "downloadLocation": "https://www.openssl.org/source/openssl-1.1.1t.tar.gz",
      "filesAnalyzed": false,
      "licenseConcluded": "OpenSSL",
      "licenseDeclared": "OpenSSL and SSLeay license"
    }
  ]
}

2.3 CycloneDX：为“现代应用安全”而生

CycloneDX 由 OWASP 社区创建。它一开始就瞄准了应用安全场景，尤其是漏洞管理和供应链安全。

我记得第一次用 CycloneDX 时，最直观的感受是：它比 SPDX 更“瘦”，更专注于安全属性。

2.3.1 CycloneDX 的核心能力

组件元数据：名称、版本、类型（library/framework/application）、purl（包 URL）。
漏洞引用（Vulnerability References）：原生支持 CVE、CWE、CVSS 评分，甚至可以直接嵌入漏洞详情。
服务组件（Services）：能描述 API、微服务等运行时依赖，这是 SPDX 目前没有的。
配方与证明（Formation & Evidence）：支持记录组件的来源证明，比如“这个 jar 包是从 Maven Central 下载的”。

2.3.2 CycloneDX 的格式

主要支持 JSON 和 XML。JSON 格式更流行，因为轻量且易于集成到 CI/CD 流水线。

避坑指南：我曾经在一个项目中，把 CycloneDX 的 bom-ref 字段写错了，导致漏洞扫描工具无法关联到具体组件。记住：bom-ref 是每个组件的唯一标识，必须保证全局唯一。我建议用“组件名@版本号”的格式，比如 openssl@1.1.1t。

2.3.3 CycloneDX 示例（JSON 片段）

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "serialNumber": "urn:uuid:3e671687-395b-41f5-a30f-a58921a69b79",
  "version": 1,
  "components": [
    {
      "type": "library",
      "name": "OpenSSL",
      "version": "1.1.1t",
      "purl": "pkg:generic/openssl@1.1.1t",
      "licenses": [
        {
          "license": {
            "id": "OpenSSL"
          }
        }
      ]
    }
  ]
}

2.4 SWID 标签：ISO 标准的“软件身份 ID”

SWID（Software Identification）标签是 ISO/IEC 19770-2 标准。它跟 SPDX 和 CycloneDX 的思路不太一样——它更像是一个“软件安装后的身份证”。

你想想看，Windows 系统里每个软件都有个“卸载信息”，SWID 标签就是干这个的，但更标准化。

2.4.1 SWID 标签的核心能力

软件身份标识：唯一标识一个已安装的软件实例。
生命周期管理：支持“安装、更新、卸载”等状态标记。
目录与实体：记录软件发布者、创建者、管理者等信息。
有效载荷（Payload）：可以包含文件列表、注册表项等安装细节。

2.4.2 SWID 标签的格式

SWID 使用 XML 格式，结构相对固定。它不像 SPDX 和 CycloneDX 那样灵活，但胜在标准化程度高，适合操作系统级别的软件管理。

我的观察：在物联网设备中，SWID 标签用得不多。因为很多嵌入式设备没有“安装”这个概念，固件是整体烧录的。但在 Windows IoT 或 Linux 桌面级设备上，SWID 标签还是很有用的，尤其是配合 SCCM 或类似工具做资产盘点。

2.4.3 SWID 标签示例（XML 片段）

<SoftwareIdentity
  xmlns="http://standards.iso.org/iso/19770/-2/2015/schema.xsd"
  tagId="com.example.openssl-1.1.1t"
  name="OpenSSL"
  version="1.1.1t"
  versionScheme="multipartnumeric">
  <Entity name="OpenSSL Foundation" role="softwareCreator"/>
  <Meta persistentId="openssl-1.1.1t"/>
</SoftwareIdentity>

2.5 三大标准对比：一张表说清楚

维度	SPDX	CycloneDX	SWID 标签
主导组织	Linux 基金会	OWASP	ISO/IEC
核心目标	许可证合规 + 包管理	应用安全 + 漏洞管理	软件身份识别 + 资产盘点
粒度	文件级	组件级	软件实例级
漏洞支持	外部引用（ExternalRef）	原生嵌入（Vulnerabilities）	不直接支持
许可证支持	非常强（文件级）	强（组件级）	弱
序列化格式	JSON/XML/YAML/Tag:Value	JSON/XML	XML
适用场景	开源合规审计、法律团队	DevSecOps、漏洞扫描、CI/CD	软件资产管理、IT 运维
物联网适用性	高（适合固件 SBOM）	高（适合容器、微服务）	低（适合传统 PC 软件）

2.6 如何选择？我的建议

没有“最好”的标准，只有“最合适”的。我根据项目经验，给你几个选择方向：

如果你的团队有法务或合规需求：选 SPDX。许可证管理这块，它无可替代。
如果你的重点是漏洞管理和安全扫描：选 CycloneDX。它跟 OWASP Dependency-Track、Trivy 等工具配合得天衣无缝。
如果你在做 IT 资产盘点或 Windows 生态：考虑 SWID 标签。但说实话，物联网场景下用得少。
如果你不确定：我建议从 CycloneDX 入手。它更轻量，工具链成熟，而且 OWASP 社区活跃，遇到问题容易找到答案。

我的实战经验：在智能家居项目中，我们同时用了 SPDX 和 CycloneDX。SPDX 用来跟法务部门对接许可证合规，CycloneDX 用来跟安全团队对接漏洞扫描。两个格式之间可以互相转换，并不冲突。

2.7 知识体系总览

下面这张图，帮你把三个标准的核心定位和关系理清楚：

2.8 小结

SPDX、CycloneDX、SWID 标签，各有各的“地盘”。

SPDX 是“老大哥”，许可证管理无人能敌；CycloneDX 是“安全新贵”，漏洞管理一把好手；SWID 标签是“ISO 正规军”，适合资产盘点。