快速入门 openEuler SBOM 标准：10分钟创建你的第一个软件物料清单

快速入门 openEuler SBOM 标准：10分钟创建你的第一个软件物料清单

【免费下载链接】compliance-sbomDevelopment the SBOM stardard of the openEuler communtiy and related documents.项目地址: https://gitcode.com/openeuler/compliance-sbom

前往项目官网免费下载：https://ar.openeuler.org/ar/

openEuler / compliance-sbom 项目是 openEuler 社区开发 SBOM 标准及相关文档的核心项目，旨在为开发者提供规范的软件物料清单（SBOM）创建指南。软件物料清单（SBOM）是记录软件组件构成的关键文档，能帮助开发者清晰掌握项目依赖，有效管理开源许可风险。

为什么需要学习 openEuler SBOM 标准？

在开源项目开发中，准确跟踪软件组件信息至关重要。openEuler SBOM 标准基于国际通用的 ISO/IEC 5962:2021（SPDX v2.2）规范，结合社区实际需求制定，确保了 SBOM 文档的兼容性和实用性。无论是个人开发者还是企业团队，掌握这一标准都能显著提升项目管理效率和合规性。

快速了解 openEuler SBOM 核心要求

基础构成要素

openEuler SBOM 要求每个开源组件（包括 Package、File、Snippet）必须包含ID 字段和以下七类基本信息：

• 名称：组件的标识名称，如glibc
• 版本：组件的具体版本号，如2.11.1
• 供应商：组件的开发组织或个人，如Person: Jane Doe (jane.doe@example.com)
• 版权：组件的版权声明文本
• PURL：组件的源头发布地址，如git+https://git.myproject.org/MyProject
• 哈希值：用于验证完整性的校验和，如MD5: 624c1abb3664f4b35547e7c73864ad24
• 许可证：组件的开源许可信息，如LGPL-2.0-only

三大核心组件类型

1. Package（必选）
   用于描述软件本身及通过包管理器引用的库。必须包含一个 root Package 元素，例如：

   PackageName: glibc PackageVersion: 2.11.1 PackageSupplier: Person: Jane Doe (jane.doe@example.com)

2. File（可选）
   建议对引入的外部文件提供信息，包含文件名、版权文本、哈希值和许可证等，例如：

   FileName: ./package/foo.c FileCopyrightText: <text> Copyright 2008-2010 John Smith </text> FileChecksum: SHA1: d6a770ba38583ed4bb4525bd96e50461655d2758

3. Snippet（可选）
   用于描述从外部组件引入的代码片段，需注明行号范围和版权信息，例如：

   SnippetLineRange: 5:23 SnippetCopyrightText: <text> Copyright 2008-2010 John Smith </text>

10分钟创建 SBOM 文档的操作步骤

步骤1：准备项目环境

首先克隆项目仓库，获取标准文档和模板：

git clone https://gitcode.com/openeuler/compliance-sbom cd compliance-sbom

步骤2：学习标准规范

详细阅读项目中的核心文档：

• openEuler_SBOM_Standard.md：完整定义了 SBOM 的格式和要求
• README.md：项目概述和使用说明

步骤3：确定组件类型

根据项目实际情况，识别需要记录的组件：

• 整包引用的库（如通过yum安装的依赖）→ 使用Package
• 单独引入的源代码文件 → 使用File
• 代码片段（如复制的函数）→ 使用Snippet

步骤4：填写核心字段

以 Package 为例，按要求填写七类基本字段：

1. 名称和版本：明确组件标识
2. 供应商和版权：记录责任主体
3. PURL：提供可追溯的来源地址
4. 哈希值：确保组件完整性
5. 许可证：避免许可冲突

步骤5：验证文档格式

检查是否符合 SPDX v2.2 规范及 openEuler 补充要求，重点确认：

• 所有必选字段是否完整
• 组件间关系描述是否准确（如CONTAINS、DEPENDS_ON）
• 哈希值和许可证表达式格式是否正确

常见问题与解决方案

Q：如何处理多个许可证的组件？

A：使用 SPDX 许可证表达式语法，例如(LGPL-2.0-only AND LicenseRef-3)表示多许可证组合。

Q：是否需要为每个文件都创建 File 元素？

A：建议仅对外部引入的文件添加 File 信息，项目内部文件可通过 Package 统一描述。

Q：如何获取组件的哈希值？

A：使用md5sum或sha1sum命令生成，例如：

sha1sum ./package/foo.c

参与贡献与获取支持

如果在使用过程中遇到问题或有改进建议，可通过以下方式参与贡献：

• 联系 openEuler Compliance SIG
• 提交 issue 或 pull request 到项目仓库

openEuler SBOM 标准遵循 Creative Commons Attribution 4.0 International License，欢迎社区成员共同完善这一规范。

通过本文的指南，你已掌握创建符合 openEuler 标准的 SBOM 文档的基本方法。立即动手实践，为你的项目构建清晰、合规的软件物料清单吧！ 🚀

【免费下载链接】compliance-sbomDevelopment the SBOM stardard of the openEuler communtiy and related documents.项目地址: https://gitcode.com/openeuler/compliance-sbom