如何在 openEuler 项目中验证和审计 SBOM 文档？

如何在 openEuler 项目中验证和审计 SBOM 文档？

【免费下载链接】compliance-sbomDevelopment the SBOM stardard of the openEuler communtiy and related documents.项目地址: https://gitcode.com/openeuler/compliance-sbom

前往项目官网免费下载：https://ar.openeuler.org/ar/

openEuler / compliance-sbom 项目是 openEuler 社区用于开发 SBOM（软件物料清单）标准及相关文档的核心项目。SBOM 作为软件供应链安全的重要工具，能够清晰展示软件组件构成，帮助开发者有效管理开源依赖并降低合规风险。本文将详细介绍如何在 openEuler 项目中对 SBOM 文档进行验证与审计，确保其符合社区标准。

一、SBOM 文档的核心验证标准

openEuler 社区采用ISO/IEC 5962:2021（SPDX v2.2）作为 SBOM 标准基础，并补充了社区特定要求。验证 SBOM 文档需重点检查以下要素：

1. 文档创建信息（必选）

完全遵循 SPDX 规范，包括文档版本、创建时间、创建者等元数据。例如：

DocumentVersion: 1.2 CreationDate: 2023-01-01T00:00:00Z Creator: Organization: openEuler Compliance SIG

2. 组件基本字段完整性

每个组件（Package/File/Snippet）必须包含7 类核心字段：

• 名称：如PackageName: glibc
• 版本：如PackageVersion: 2.11.1
• 供应商：如PackageSupplier: Person: Jane Doe (jane.doe@example.com)
• 版权信息：如PackageCopyrightText: <text>Copyright 2008-2010 John Smith</text>
• PURL 地址：如git+https://git.myproject.org/MyProject
• 哈希值：如PackageChecksum: MD5: 624c1abb3664f4b35547e7c73864ad24
• 许可证：如PackageLicenseDeclared: (LGPL-2.0-only AND LicenseRef-3)

3. 元素关系正确性

需正确使用 SPDX 关系类型描述组件间依赖，例如：

• CONTAINS/CONTAINED_BY：表示片段/文件/库的包含关系
• DEPENDS_ON/DEPENDENCY_OF：表示包管理器依赖关系

二、快速审计 SBOM 文档的 3 个关键步骤

1. 检查根包定义

确保文档中存在root Package 元素，用于描述软件本身。例如：

PackageName: openEuler-base PackageVersion: 22.03 PackageSupplier: Organization: openEuler Community

2. 验证文件与片段信息（可选但推荐）

• 文件级信息：对外引文件需包含FileName、FileCopyrightText、FileChecksum等字段。
• 片段级信息：对外引代码片段需标注SnippetLineRange和SnippetCopyrightText。

3. 许可证兼容性审查

通过比对 openEuler_SBOM_Standard.md 中的许可证要求，确保组件许可证组合符合社区规范，避免 GPL 与 MIT 等许可证冲突。

三、常见问题与解决方法

Q1：如何处理缺失的 PURL 字段？

A1：对于无法获取 PURL 的组件，可使用NOASSERTION标记，并在文档注释中说明原因。

Q2：哈希值校验失败怎么办？

A2：重新生成组件哈希（推荐使用 SHA256），确保与源文件一致。若源文件已修改，需同步更新 SBOM 文档版本。

Q3：多许可证组合如何表述？

A3：使用AND/OR逻辑符明确关系，例如(MIT OR Apache-2.0) AND GPL-2.0-only。

四、参与贡献与获取支持

若发现 SBOM 标准问题或需技术支持，可通过以下方式参与社区协作：

• 联系openEuler Compliance SIG
• 参考项目贡献指南（项目根目录下 CONTRIBUTING 文件）

通过以上步骤，开发者可系统验证和审计 openEuler 项目的 SBOM 文档，确保软件供应链的透明性与合规性。建议定期更新 SBOM 以应对组件版本变化，保障项目安全稳定运行。

【免费下载链接】compliance-sbomDevelopment the SBOM stardard of the openEuler communtiy and related documents.项目地址: https://gitcode.com/openeuler/compliance-sbom