SBOM 开源工具调研分析报告

---

1. 执行摘要

1.1 市场概况

根据调研，2026 年 SBOM 工具市场呈现以下特点：

• 市场规模: 预计 2025-2031 年复合年增长率 22.1%
• 主要驱动: AI 算力需求、供应链安全法规（CISA、欧盟 CRA）
• 标准演进: SPDX v3.0、CycloneDX v1.6 成为主流
• 挑战: 理论与实践脱节，69% 开发者因知识不足未采用

1.2 关键发现

发现	说明
工具成熟度	生产型工具成熟，消费型和转换型待完善
多语言支持	主流工具支持 8-10 种语言
格式支持	SPDX 和 CycloneDX 成为标配
集成能力	CI/CD 集成成为必备功能
漏洞关联	与 NVD、OSV 集成成为趋势

---

2. 开源工具对比

2.1 工具总览

工具名称	开发语言	主要功能	支持格式	许可证
Syft	Go	SBOM 生成	SPDX, CycloneDX	Apache-2.0
ORT	Kotlin/Java	依赖分析 + SBOM	SPDX, CycloneDX	Apache-2.0
Trivy	Go	漏洞扫描 + SBOM	CycloneDX	Apache-2.0
cdxgen	Node.js	SBOM 生成	CycloneDX	Apache-2.0
openSCA	Go	SCA + SBOM	SPDX, CycloneDX	Apache-2.0
SBOM-TOOL	Go	SBOM 生成	SPDX, CycloneDX	MIT

2.2 详细对比

2.2.1 Anchore Syft

GitHub: https://github.com/anchore/syft

项目	详情
开发语言	Go
主要功能	容器镜像和文件系统 SBOM 生成
支持格式	SPDX JSON/XML, CycloneDX JSON/XML
支持语言	Python, Java, Go, Node.js, Rust, PHP, .NET, Ruby
CI/CD 集成	GitHub Actions, GitLab CI, Jenkins
优势	功能强大、支持广泛、活跃维护
劣势	漏洞扫描需配合 Grype
适用场景	容器镜像 SBOM、通用项目

使用示例:

# 生成 SBOM
syft dir:/path/to/project -o spdx-json > sbom.spdx.json
syft dir:/path/to/project -o cyclonedx-json > sbom.cdx.json

# 容器镜像
syft registry:docker.io/library/nginx:latest -o spdx-json

2.2.2 OSS Review Toolkit (ORT)

GitHub: https://github.com/oss-review-toolkit/ort

项目	详情
开发语言	Kotlin/Java
主要功能	依赖分析、许可证合规、SBOM 生成
支持格式	SPDX, CycloneDX, SWID
支持语言	Java, Python, Go, Node.js, PHP, .NET, Ruby, Rust
CI/CD 集成	GitHub Actions, GitLab CI, Jenkins
优势	功能全面、许可证合规则强
劣势	学习曲线陡峭、资源占用高
适用场景	企业级合规、多语言项目

使用示例:

# 分析项目
ort analyze -i project-dir -o output-dir

# 生成 SBOM
ort report -i output-dir --report-formats SpdxDocument, CycloneDx

2.2.3 Trivy

GitHub: https://github.com/aquasecurity/trivy

项目	详情
开发语言	Go
主要功能	漏洞扫描、SBOM 生成、配置检查
支持格式	CycloneDX, SPDX
支持语言	多语言（通过包管理文件）
CI/CD 集成	GitHub Actions, GitLab CI, Jenkins
优势	漏洞库强大、速度快、易用
劣势	SBOM 功能相对简单
适用场景	安全扫描、容器镜像

使用示例:

# 漏洞扫描
trivy fs /path/to/project

# 生成 SBOM
trivy fs --format cyclonedx --output sbom.cdx.json /path/to/project

2.2.4 cdxgen

GitHub: https://github.com/CycloneDX/cdxgen

项目	详情
开发语言	Node.js
主要功能	CycloneDX SBOM 生成
支持格式	CycloneDX JSON/XML
支持语言	Node.js, Python, Java, Go, PHP, .NET, Ruby, Rust
CI/CD 集成	GitHub Actions, GitLab CI
优势	专注 CycloneDX、支持广泛
劣势	仅支持 CycloneDX
适用场景	CycloneDX 标准项目

使用示例:

# 生成 SBOM
cdxgen -t nodejs -o sbom.cdx.json /path/to/project

2.2.5 openSCA

GitHub: https://github.com/xmirrorsecurity/openSCA

项目	详情
开发语言	Go
主要功能	SCA、SBOM 生成、漏洞检测
支持格式	SPDX, CycloneDX
支持语言	Java, Python, Go, Node.js, PHP, Rust, Erlang
CI/CD 集成	GitHub Actions, Jenkins
优势	国产工具、中文支持好
劣势	国际知名度较低
适用场景	国内企业、中文环境

2.2.6 SBOM-TOOL (京东)

GitHub: https://github.com/JD-Health-INTL/sbom-tool

项目	详情
开发语言	Go
主要功能	SBOM 生成、依赖分析
支持格式	SPDX, CycloneDX
支持语言	Java, Python, Node.js, Go, PHP
CI/CD 集成	Jenkins, GitLab CI
优势	无特殊依赖、轻量级
劣势	功能相对简单
适用场景	快速集成、轻量级需求

---

3. 多语言支持对比

3.1 语言支持矩阵

工具	Java	Python	Go	Node.js	Rust	PHP	.NET	Ruby
Syft	✅	✅	✅	✅	✅	✅	✅	✅
ORT	✅	✅	✅	✅	✅	✅	✅	✅
Trivy	✅	✅	✅	✅	✅	⚠️	✅	⚠️
cdxgen	✅	✅	✅	✅	✅	✅	✅	✅
openSCA	✅	✅	✅	✅	✅	✅	⚠️	✅
SBOM-TOOL	✅	✅	✅	✅	⚠️	✅	⚠️	⚠️

✅ 完全支持 ⚠️ 部分支持

3.2 各语言推荐工具

Java (Maven/Gradle)

• 推荐: ORT, Syft
• 理由: 依赖解析准确、支持传递依赖

Python (pip/Poetry)

• 推荐: Syft, openSCA
• 理由: 支持多种包管理工具

Go (Modules)

• 推荐: Syft, Trivy
• 理由: 原生支持 go.mod/go.sum

Node.js (npm/Yarn)

• 推荐: cdxgen, Syft
• 理由: 支持 package-lock.json/yarn.lock

---

4. 标准支持对比

4.1 SPDX vs CycloneDX

特性	SPDX v3.0	CycloneDX v1.6
主导组织	Linux 基金会	OWF 基金会
侧重点	许可证合规	安全导向
漏洞支持	基础	原生支持
AI BOM	支持	支持
采用率	高（政府、企业）	高（安全工具）
推荐场景	合规、供应链	安全、DevSecOps

4.2 工具标准支持

工具	SPDX	CycloneDX	格式转换
Syft	✅	✅	✅
ORT	✅	✅	✅
Trivy	⚠️	✅	❌
cdxgen	❌	✅	❌
openSCA	✅	✅	✅
SBOM-TOOL	✅	✅	✅

---

5. CI/CD 集成对比

5.1 GitHub Actions

工具	Action	成熟度
Syft	anchore/sbom-action	⭐⭐⭐⭐⭐
ORT	ort/ort-action	⭐⭐⭐⭐
Trivy	aquasecurity/trivy-action	⭐⭐⭐⭐⭐
cdxgen	CycloneDX/cdxgen-action	⭐⭐⭐

5.2 GitLab CI

工具	集成方式	成熟度
Syft	Docker 镜像	⭐⭐⭐⭐⭐
ORT	Docker 镜像	⭐⭐⭐⭐
Trivy	GitLab 集成	⭐⭐⭐⭐⭐

5.3 Jenkins

工具	插件	成熟度
Syft	无官方插件	⭐⭐⭐
ORT	无官方插件	⭐⭐⭐
Trivy	trivy-plugin	⭐⭐⭐⭐

---

6. 选型建议

6.1 场景推荐

场景 1: 容器镜像 SBOM

推荐：Syft + Grype
理由：容器支持好、漏洞扫描强

场景 2: 企业级合规

推荐：ORT
理由：许可证合规则强、功能全面

场景 3: 安全导向

推荐：Trivy
理由：漏洞库强大、速度快

场景 4: CycloneDX 标准

推荐：cdxgen
理由：专注 CycloneDX、支持广泛

场景 5: 国内企业

推荐：openSCA
理由：中文支持好、本地化服务

场景 6: 轻量级集成

推荐：SBOM-TOOL
理由：无特殊依赖、易集成

6.2 组合方案

方案 A: 全能型

Syft (SBOM 生成) + Trivy (漏洞扫描) + ORT (许可证合规)
优势：功能最强
劣势：维护成本高

方案 B: 轻量型

SBOM-TOOL (SBOM 生成) + Trivy (漏洞扫描)
优势：简单易用
劣势：功能有限

方案 C: 安全型

Trivy (一体化)
优势：单一工具、维护简单
劣势：SBOM 功能相对简单

---

7. 趋势分析

7.1 技术趋势

1. AI BOM 兴起

   • 记录 AI 模型训练数据
   • 模型版本和依赖追踪
   • 2026 年将成为标配

2. SLSA 集成

   • 构建完整性证明
   • 供应链安全等级
   • Docker 等公司推动

3. 自动化生成

   • CI/CD 深度集成
   • 早生成、早消费
   • 避免末端打勾

4. 准确性提升

   • 从"有没有"到"准不准"
   • 上下文感知
   • 可行动性增强

7.2 市场趋势

1. 法规驱动

   • 美国 EO14028
   • 欧盟 CRA
   • 中国供应链安全指引

2. 行业采用

   • 金融行业领先
   • 医疗行业跟进
   • 制造业加速

3. 工具整合

   • SCA + SBOM + 漏洞扫描
   • 一体化平台
   • 减少工具链复杂度

---

8. 结论与建议

8.1 核心结论

1. 工具成熟: 主流工具功能完善，可满足不同场景需求
2. 标准统一: SPDX 和 CycloneDX 成为事实标准
3. 集成必备: CI/CD 集成成为标配功能
4. 挑战仍在: 准确性和可行动性是主要挑战

8.2 风险提示

1. 工具依赖风险: 避免单一工具锁定
2. 数据准确性: 定期验证 SBOM 准确性
3. 合规风险: 关注法规变化
4. 技能缺口: 69% 开发者缺乏 SBOM 知识

---

9. 参考资料

9.1 工具仓库

• Syft: https://github.com/anchore/syft
• ORT: https://github.com/oss-review-toolkit/ort
• Trivy: https://github.com/aquasecurity/trivy
• cdxgen: https://github.com/CycloneDX/cdxgen
• openSCA: https://github.com/xmirrorsecurity/openSCA
• SBOM-TOOL: https://github.com/JD-Health-INTL/sbom-tool

9.2 标准文档

• SPDX v3.0: https://spdx.dev
• CycloneDX v1.6: https://cyclonedx.org
• CISA SBOM: https://www.cisa.gov/sbom

9.3 行业报告

• Dark Reading: SBOMs in 2026
• Gartner: Software Supply Chain Security
• openEuler: SBOM 实践报告

---