cdxgen

cdxgen 是一个帮你自动生成“软件物料清单”（SBOM）的开源工具，相当于给你的项目做一次彻底的“家底清查”。在现代软件开发中，依赖各种开源组件是常态，但一旦某个组件爆出安全漏洞，你往往不知道自己的代码里有没有用到它。cdxgen 解决了这个痛点：它扫描你的源代码、容器镜像，甚至运行时环境，然后生成一份标准的 CycloneDX 格式清单，清晰地列出所有用到的组件、版本号、许可证和依赖关系。有了这份清单，安全团队就能在漏洞爆发时立刻定位风险，CI/CD 流水线也能自动把这份清单提交到 Dependency Track 服务器做持续监控。简单说，它就是给软件供应链上的一道“安检门”。 技术亮点上，cdxgen 不局限于软件，它还能生成硬件物料清单（HBOM，比如 Mac 和 Linux 主机的硬件信息）、密码学物料清单（CBOM，记录密钥和算法）、运维物料清单（OBOM，针对容器和虚拟机），甚至支持 SaaS 和 AI/ML 项目的物料清单（AI-BOM，包括提示词、AI 服务配置和模型元数据）。也就是说，从物理机到云原生应用，从传统 Java 到现代 AI 项目，它都能覆盖。它支持 CycloneDX 1.5 到 1.7 版本，还能导出 SPDX 3.0.1 格式，兼容性很强。此外，它还附带签名和验证功能，确保物料清单本身没有被篡改。 适用场景非常广泛：如果你是 DevOps 或安全工程师，可以把它集成到 CI/CD 流水线中，每次构建自动生成 SBOM 并推送到 Dependency Track；如果你是开源项目维护者，发布新版本时附上 SBOM 能大大提升项目的可信度，用户一眼就能看到依赖了哪些库；如果你是合规人员，需要满足软件供应链安全法规（如美国行政令、欧盟法案），cdxgen 生成的标准化清单就是现成的合规证据。它支持常见语言和包管理器（JavaScript、Java、Python、Go、Rust、PHP 等），对容器镜像（Docker、Podman）也原生支持。 上手难度很低。cdxgen 提供了多种使用方式：可以直接用 npm 全局安装，或者下载预编译的二进制文件，甚至可以通过 Docker 运行。你只需要在项目目录下执行 `cdxgen -o bom.json`，它就会自动扫描并输出物料清单。如果你熟悉 JavaScript/Node.js...