概述
当被问及某个版本用了哪些组件或是否受某漏洞影响时，没有 SBOM 只能靠翻构建日志。为每次构建生成标准格式的 SBOM、随产物存放并评审许可证与漏洞，可让供应链查询从数小时变为即时。
关键步骤
- 为每次构建生成标准格式 SBOM。
- 将 SBOM 与产物一同存放并版本化。
- 评审不合规许可证与已知漏洞组件。
- 用 SBOM 快速回答客户与事件问题。
验证
- 指定版本的 SBOM 列出镜像中实际组件。
- 评审标记出已知漏洞版本。
- 每次构建均有对应 SBOM。
- 发布记录可链接到 SBOM。
决策点
应采用 CycloneDX 或 SPDX 等标准格式以便互操作；宜逐构建生成，便于任何产物都可查询。
适用范围
本条目围绕「SBOM 生成与评审工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
syft $IMAGE -o cyclonedx-json > sbom.cdx.json
grype sbom:sbom.cdx.json --fail-on high