Agent Skills
返回列表
🔒

CycloneDX SBOM 生成器

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/sbom-generator-cyclonedx 技能。

技能介绍

要解决的问题

软件物料清单（SBOM）在供应链安全、许可证合规与漏洞响应中越来越关键，但生成一份高质量的 SBOM 并不简单：依赖关系难以完整梳理，许可证信息散落在各个来源，漏洞数据还需要人工交叉比对，最终往往导致格式不统一、数据不准确、难以自动化的问题。

技能如何工作

该技能结合 cdxgen 与 syft 对项目进行扫描，输出符合 CycloneDX 1.5 规范的 SBOM 文件，核心流程如下：

  • 依赖扫描：syft 解析项目结构，识别直接依赖与传递依赖；
  • 清单生成：cdxgen 生成符合 CycloneDX 1.5 的 SBOM 清单；
  • 许可证检测：借助 clearlydefined.io 对组件数据进行许可证识别与补充；
  • 漏洞交叉引用：通过 OSV.dev 对组件进行漏洞比对，标注已知安全风险。

适用边界与注意点

  • SBOM 的准确性依赖 syft 对项目生态的支持程度，部分私有仓库或自定义格式可能需要额外配置；
  • 许可证检测结果来自 clearlydefined.io，冷门组件可能返回未知或推断信息；
  • 漏洞数据来源于 OSV.dev，覆盖面取决于公开数据库的更新频率；
  • 本技能专注于 SBOM 生成与数据增强，不能替代持续监控或完整的合规审计流程。

使用场景

  • 安全工程师在发版前扫描项目的依赖清单，需要一份 CycloneDX 格式的 SBOM 用于漏洞响应备案与审计。
  • 合规负责人在对外交付软件前，需要核对第三方组件的许可证类型，确认没有高风险的 copyleft 许可混入。
  • 运维团队接到 CVE 通报后，需要对照已生成的 SBOM 找出受影响组件，快速定位版本并评估波及范围。
  • 审计人员为编写供应链合规报告，需要把多个服务的依赖汇总成结构统一的 CycloneDX 文件用于归档。

适合人员

  • 后端工程师，需要为每次构建产出可被自动化工具消费的 CycloneDX SBOM，集成进 CI 流水线。
  • 安全工程师，需要用 SBOM 配合漏洞数据库快速定位受影响组件并推动修复。
  • 开源合规或法务人员，需要核对依赖许可证类型，评估 copyleft 与未知许可带来的风险。
  • DevOps 平台工程师，需要为制品仓库建立统一的 SBOM 生成与归档流程，支撑供应链审计。