技术分享 | 不同格式标准SBOM清单横评：SPDX、CDX和DSDX

最新推荐文章于 2025-09-24 17:30:02 发布

原创

最新推荐文章于 2025-09-24 17:30:02 发布 · 1.7k 阅读

20 ·

CC 4.0 BY-SA版权

文章标签：

#开源 #安全

本文探讨了软件物料清单(SBOM)在现代软件供应链中的重要性，比较了SPDX、CDX和DSDX三种SBOM标准格式，强调了它们在许可证管理、安全性和适应性上的特点。OpenSCA支持输出这些标准格式，以增强软件供应链的安全性和效率。

为了保证安全性、降低开发、采购及维护的相关成本，复杂动态的现代软件供应链对软件资产透明度提出了更高的要求。使用清晰的软件物料清单（SBOM）收集和共享信息，并在此基础上进行漏洞、许可证和授权管理等，可以揭示整个软件供应链中的弱点、提高软件供应链的透明度并增进供应链上下游间的相互信任、有效管控软件供应链攻击的威胁。

从定义上讲, SBOM是包含软件应用中使用的所有组件、库和其他依赖项的列表。国际通用的SBOM标准格式包括SPDX、CDX和SWID，前两者由于记录着更详细的依赖信息而得到了更广泛的使用。

DSDX（Digital Supply-chain Data Exchange）是由OpenSCA社区主导，开源中国、电信研究院、中兴通讯联合发起的中国首个数字供应链SBOM格式，更适配中国企业实战化应用实践场景，并且能兼容SPDX、CDX、SWID国际标准和国内标准。

更多DSDX相关信息请参考：SCA技术进阶系列（四）：DSDX SBOM供应链安全应用实践

下文将对SPDX、CDX及DSDX三种标准SBOM格式进行对比分析。

01 SPDX

1.1