A Action escreve um Resumo de Job por padrão e pode aplicar políticas, reportar
desvios de integridade, enviar SARIF ou manter um único comentário em pull-request. Consulte
[a referência completa da Action](https://github.com/rezmoss/sbomlyze/blob/HEAD/ACTION.md) para entradas, saídas, permissões
e orientações de segurança. Consulte o
[repositório de demonstração ao vivo](https://github.com/rezmoss/sbomlyze-action-demo)
para uma atualização de dependência aprovada e uma alteração de hash de mesma versão bloqueada, com
execuções de workflow públicas e evidências SARIF.

Para dogfood específico de formato, use os exemplos públicos
[Go + SPDX](https://github.com/rezmoss/sbomlyze-go-spdx-demo),
[Node + CycloneDX](https://github.com/rezmoss/sbomlyze-node-cyclonedx-demo) ou
[contêiner](https://github.com/rezmoss/sbomlyze-container-demo). Cada um
contém cinco cenários de revisão reproduzíveis. O
[guia beta de 10 minutos](https://github.com/rezmoss/sbomlyze/blob/HEAD/BETA.md) reúne quatro perguntas focadas sobre ativação e
qualidade de sinal.

Os SBOMs gerados não precisam ser commitados: `baseline: workflow-artifact`
recupera o artefato correspondente mais recente de uma execução bem-sucedida no branch
padrão. Um [workflow complementar do Syft com pin](https://github.com/rezmoss/sbomlyze/blob/HEAD/examples/workflows/syft-companion.yml)
mostra a geração e a publicação da baseline, enquanto o SBOMlyze permanece responsável
pela revisão e pela política.

## Por que sbomlyze?

Muitas ferramentas geram SBOMs. Poucas os comparam, e menos ainda dizem se uma mudança é rotineira ou um sinal de alerta na cadeia de suprimentos. O sbomlyze preenche essa lacuna.

| Capacidade | **sbomlyze** | cyclonedx-cli | sbomqs | syft / trivy |
|---|:---:|:---:|:---:|:---:|
| **Diff** de SBOM para SBOM | ✅ | básico | ❌ | ❌ |
| Desvio de **integridade / adulteração** (hash alterado sem mudança de versão) | ✅ | ❌ | ❌ | ❌ |
| Diff de grafo de dependências + risco de profundidade transitiva | ✅ | ❌ | ❌ | ❌ |
| Pontuação de conformidade **NTIA / CISA / BSI** | ✅ | ❌ | ✅ | ❌ |
| Conversão de formatos (Syft / CycloneDX / SPDX) | ✅ | ✅ | ❌ | parcial |
| Exploradores de **TUI + Web UI** | ✅ | ❌ | ❌ | ❌ |
| Portão de política + SARIF / JUnit / Markdown / HTML / Patch | ✅ | parcial | parcial | parcial |

## Recursos

- **Diff de SBOM**: Compare dois SBOMs e veja componentes adicionados, removidos e alterados de uma só vez
- **Classificação de desvios**: Distinga desvios de versão de **desvios de integridade** (um hash alterado sem mudança de versão, sinalizando adulteração) e desvios de metadados
- **Pontuação de conformidade**: Pontue qualquer SBOM em relação aos elementos mínimos da **NTIA**, **CISA 2025** e **BSI TR-03183**
- **Diff de grafo de dependências**: Rastreie dependências transitivas e a profundidade da cadeia de suprimentos
- **Suporte a múltiplos formatos**: Syft, CycloneDX, SPDX (JSON)
- **Conversão de formatos**: Converta entre formatos CycloneDX, SPDX e Syft
- **Correspondência robusta de identidade**: Precedência PURL → CPE → BOM-ref → namespace/nome
- **Modo estatísticas**: Analise SBOMs individuais para métricas de licença, dependência e integridade
- **Modo TUI interativo**: Explore SBOMs com navegação por teclado e busca
- **Modo Web UI**: Explorador de SBOM baseado em navegador com upload por arrastar e soltar
- **Mecanismo de políticas**: Aplique regras de desvio, licença e pontuação de conformidade em pipelines de CI
- **Action do GitHub Marketplace**: Bloqueie pull-requests com base em desvios de SBOM com Resumo de Job, SARIF e saída opcional de comentário
- **Detecção de duplicatas e colisões**: Encontre múltiplas versões do mesmo pacote e correspondências de identidade ambíguas
- **Múltiplos formatos de saída**: Texto, JSON, SARIF, JUnit XML, Markdown, HTML, JSON Patch
- **Parsing tolerante**: Continue com erros e avisos estruturados

## Instalação

### Homebrew (macOS/Linux)```bash
brew install rezmoss/sbomlyze/sbomlyze

**Opções do instalador:**

| Opção | Descrição |
|--------|-------------|
| `-b <dir>` | Diretório de instalação (padrão: `./bin`) |
| `-d` | Ativar saída de depuração |
| `-v <ver>` | Instalar versão específica (padrão: mais recente) |

O instalador sempre verifica o checksum do release. Quando uma CLI do GitHub compatível
está instalada, ele também verifica a procedência do build do release e falha de forma segura se
essa verificação não for bem-sucedida.

### Instalação via Go```bash
go install github.com/rezmoss/sbomlyze/cmd/sbomlyze@latest

Instruções de repositórios apt, rpm e apk não assinados foram removidas até que os repositórios suportem verificação de assinatura nativa do gerenciador de pacotes.

**Usuários de macOS:** Remova o sinalizador de quarentena após o download:```bash
xattr -d com.apple.quarantine ./sbomlyze
chmod +x ./sbomlyze

## Início Rápido```bash
# Compare two SBOMs (the headline use case)
sbomlyze before.json after.json

# Analyze a single SBOM
sbomlyze image.json

# Read an SBOM from standard input
syft image:tag -o cyclonedx-json | sbomlyze -

# Use standard input on either side of a diff
syft image:tag -o cyclonedx-json | sbomlyze baseline.json -

# Score an SBOM against NTIA / CISA / BSI minimum elements
sbomlyze image.json --compliance

# Interactive TUI explorer
sbomlyze image.json -i

# Web UI (opens browser)
sbomlyze -web

# Convert between SBOM formats
sbomlyze convert syft.json --to spdx
sbomlyze convert cdx.json --to syft -o output.json

# JSON output for CI integration
sbomlyze before.json after.json --json

# SARIF output for GitHub Code Scanning
sbomlyze before.json after.json --format sarif

# Markdown report for PR comments
sbomlyze before.json after.json --format markdown

# Apply policy checks
sbomlyze before.json after.json --policy policy.json

## Comandos

### Modo Estatísticas (Arquivo Único)

Analise um SBOM para obter insights sobre componentes, licenças e dependências.```bash
sbomlyze image.json

#### Principais Descobertas

O sbomlyze gera automaticamente insights sobre o seu SBOM. Para análise de arquivo único, estes incluem:

| Descoberta | Descrição |
|---------|-------------|
| **Detecção de SO/distro** | Identifica o sistema operacional ou distro a partir dos metadados do SBOM |
| **Ecossistema dominante** | Relata quando um tipo de pacote domina (>60% de todos os pacotes) |
| **Pegada do sistema de arquivos** | Número de arquivos rastreados no sistema de arquivos |
| **Densidade de relacionamentos** | Contagens de relacionamentos de contenção e dependência |
| **Locais de maior concentração** | Principais diretórios onde os componentes são encontrados |
| **Perfil de risco de licença** | Detalhamento das porcentagens de licenças permissivas/copyleft/desconhecidas |
| **Avisos de qualidade de dados** | Alertas quando a cobertura de licença (<50%), hash (<50%) ou PURL (<80%) é baixa |
| **Avisos de duplicidade** | Sinaliza grupos de componentes duplicados |
| **Detalhamento do catalogador** | Principais scanners/catalogadores que detectaram componentes (SBOMs Syft) |

#### Métricas de Cobertura

O modo de estatísticas calcula porcentagens de cobertura para avaliação da qualidade dos dados:

| Métrica | Descrição |
|--------|-------------|
| **Cobertura de PURL** | Percentual de componentes com Package URLs |
| **Cobertura de CPE** | Percentual de componentes com CPEs (prontidão para varredura de vulnerabilidades) |
| **Cobertura de licença** | Percentual de componentes com pelo menos uma licença |
| **Cobertura de hash** | Percentual de componentes com hashes de integridade |

#### Categorização de Licenças

As licenças são automaticamente categorizadas em:

| Categoria | Exemplos |
|----------|----------|
| **Copyleft** | GPL, LGPL, AGPL, MPL, EPL, CDDL |
| **Permissiva** | MIT, BSD, Apache, ISC, Zlib, Unlicense |
| **Domínio Público** | Dedicações de domínio público |
| **Desconhecida** | Licenças não reconhecidas ou ausentes |

### Modo de Conversão

Converta SBOMs entre os formatos JSON CycloneDX, SPDX e Syft. O formato de entrada é detectado automaticamente.```bash
# CycloneDX to SPDX
sbomlyze convert image.cdx.json --to spdx

# Syft to CycloneDX (cdx is an alias for cyclonedx)
sbomlyze convert syft-output.json --to cdx

# SPDX to Syft, writing to a file
sbomlyze convert spdx-output.json --to syft -o converted.json

#### Visão Geral do Diff

O diff começa com uma comparação lado a lado de metadados (nomes de arquivos, tamanhos, informações do SO, informações da ferramenta, contagens de componentes), seguida por detalhes do contexto da varredura quando disponíveis.

#### Saída```
📊 Drift Summary:
  📦 Version drift:   58 components
  ⚠️  Integrity drift: 1 component (hash changed without version change!)
  📝 Metadata drift:  2 components

🔑 Key Findings:
  📈 Attack surface: +5 packages (7.0%), +120 files (3.2%)
  🚨 2 version downgrades detected: openssl 3.1.4→3.0.2, curl 8.5.0→8.4.0
  🔄 56 version upgrades (2 major, 12 minor, 42 patch) among 65 shared packages
  ⚠️  Integrity drift (1 total): 1 npm (review recommended)
  ❌ python ecosystem entirely removed (15 → 0 packages)
  ➕ New ecosystem: golang (8 packages)
  ✅ Core system packages stable: apk (71) unchanged

+ Added (2):
  + libgcrypt 1.10.3-r0
  + libgpg-error 1.49-r0

- Removed (3):
  - libapk 3.0.3-r1
  - libgcc 15.2.0-r2
  - nghttp3 1.13.1-r0

~ Changed (58):
  ~ nginx
      version: 1.29.4-r1 -> 1.27.3-r1
  ~ suspicious-pkg ⚠️  [INTEGRITY]
      hash[SHA256]: abc123 -> def456

>> Added dependencies:
  pkg:apk/alpine/libxslt: +[so:libgcrypt.so.20]

<< Removed dependencies:
  pkg:apk/alpine/libcurl: -[so:libnghttp3.so.9]

🔗 New transitive dependencies (3):
  + pkg:npm/lodash (depth 2)
    via: [pkg:npm/my-app pkg:npm/express pkg:npm/lodash]
  + pkg:npm/underscore (depth 3)
    via: [pkg:npm/my-app pkg:npm/express pkg:npm/lodash pkg:npm/underscore]

📊 New deps by depth:
  Depth 2:              1
  Depth 3+ (risky):     2 ⚠️

### Frameworks Avaliados

| Framework | Verificações | Requisitos notáveis |
|-----------|--------------|---------------------|
| **NTIA Minimum Elements** (2021) | 7 | nome, versão, fornecedor, IDs exclusivos (PURL/CPE), relações de dependência, autor do SBOM, carimbo de data/hora |
| **CISA 2025 Minimum Elements** (rascunho de agosto de 2025) | 10 | adiciona produtor de software, informações de licença, **hash do componente** e nome da ferramenta além dos requisitos da NTIA |
| **BSI TR-03183-2** (v2.1.0, 2025) | 9 | exige contato do criador do componente, **hash SHA-512**, licenças em formato SPDX e contato do criador do SBOM |

### Apresentação da Pontuação

Cada framework apresenta uma porcentagem (verificações aprovadas / total de verificações) além de uma pontuação geral (média entre os frameworks), com indicadores de status:

| Indicador | Pontuação |
|-----------|-----------|
| 🟢 | ≥ 90% |
| 🟡 | 70–89% |
| 🟠 | 50–69% |
| 🔴 | < 50% |

A saída JSON (`--compliance --json`) inclui o relatório completo com detalhes de aprovação/reprovação por verificação; o formato HTML incorpora o relatório de conformidade na página do relatório.

### Gate de Conformidade na CI

Aplique limites de conformidade por meio do [mecanismo de políticas](#policy-engine). Definir qualquer limite aciona a avaliação de conformidade sem a opção `--compliance`:```json
{
  "min_ntia_score": 85,
  "min_cisa_score": 70,
  "min_bsi_score": 80,
  "min_overall_compliance": 75
}

## Diff do Grafo de Dependências

O sbomlyze vai além de simples diffs de lista de componentes para analisar o grafo de dependências completo, detectando riscos na cadeia de suprimentos introduzidos por dependências transitivas.

### Recursos

| Feature | Descrição |
|---------|-------------|
| **Edge diff** | Dependências diretas adicionadas/removidas (A depende de B) |
| **Transitive reachability** | Novas dependências indiretas que aparecem através do grafo |
| **Transitive loss tracking** | Dependências transitivas que foram removidas |
| **Path tracking** | Mostra exatamente como cada nova dependência transitiva é alcançada |
| **Depth tracking** | A quantos saltos cada nova dependência está do seu código |
| **Risk summary** | Dependências com profundidade 3+ sinalizadas como de maior risco |

### Por que a Profundidade Importa

Dependências introduzidas mais profundamente no grafo são:
- Mais difíceis de auditar e revisar
- Frequentemente incluídas sem aprovação explícita
- Vetores comuns para ataques à cadeia de suprimentos (por exemplo, incidente do event-stream)

O resumo de profundidade ajuda a priorizar a revisão:

| Profundidade | Nível de Risco | Descrição |
|-------|------------|-------------|
| **1** | Baixo | Dependências diretas (você escolheu estas) |
| **2** | Médio | Dependências das suas dependências |
| **3+** | Alto ⚠️ | Dependências transitivas profundas - revise com cuidado |

### Exemplo: Detectando Dependências Transitivas Profundas```bash
# Before: app -> express (simple, 1 dep)
# After:  app -> express -> lodash -> underscore -> deep-lib (chain of 4)

sbomlyze before.json after.json

### Saída JSON para o Grafo de Dependências```json
{
  "dependencies": {
    "added_deps": {
      "pkg:npm/express": ["pkg:npm/lodash", "pkg:npm/body-parser"]
    },
    "removed_deps": {},
    "transitive_new": [
      {
        "target": "pkg:npm/underscore",
        "via": ["pkg:npm/my-app", "pkg:npm/express", "pkg:npm/lodash", "pkg:npm/underscore"],
        "depth": 3
      }
    ],
    "transitive_lost": [],
    "depth_summary": {
      "depth_1": 0,
      "depth_2": 2,
      "depth_3_plus": 2
    }
  }
}

**Recomendação**: Sempre investigue o desvio de integridade. Pode ser benigno, mas é um sinal-chave para a segurança da cadeia de suprimentos.

### Saída JSON para o Desvio

O resumo do desvio está dentro do objeto `diff`:```json
{
  "diff": {
    "changed": [
      {
        "id": "pkg:npm/suspicious-pkg",
        "name": "suspicious-pkg",
        "changes": ["hash[SHA-256]: abc123 -> def456"],
        "drift": {
          "type": "integrity",
          "hash_changes": {
            "changed": {
              "SHA-256": {"before": "abc123", "after": "def456"}
            }
          }
        }
      }
    ],
    "drift_summary": {
      "version_drift": 55,
      "integrity_drift": 1,
      "metadata_drift": 2
    }
  }
}

## Detecção de Duplicatas e Colisões

### Detecção de Duplicatas

sbomlyze identifica componentes com a mesma identidade, mas versões diferentes dentro de um SBOM:```
⚠️  Duplicates Found: 2
  lodash: [4.17.20, 4.17.21]
  express: [4.18.0, 4.19.2]

![interactive-sbom](https://assets.kitploit.com/production/public/readmes/12637/d28ec876b78778fce19967cad0a41a5ebd0acb43ad4dd0aeb7837ff5204b9903.gif)

### Atalhos de Teclado da TUI

#### Navegação

| Tecla | Ação |
|-----|--------|
| `↑` / `k` | Mover para cima |
| `↓` / `j` | Mover para baixo |
| `PgUp` / `Ctrl+u` | Meia página acima |
| `PgDn` / `Ctrl+d` | Meia página abaixo |
| `Home` / `g` | Ir para o topo |
| `End` / `G` | Ir para o final |
| `Enter` | Ver detalhes do componente |
| `Esc` / `Backspace` | Voltar |
| `q` / `Ctrl+c` | Sair |

#### Pesquisa e Filtro

| Tecla | Ação |
|-----|--------|
| `/` | Pesquisa profunda em todos os campos (nome, PURL, licenças, JSON bruto) |
| `t` | Filtrar por tipo de pacote (npm, apk, golang, pypi, etc.) |
| `c` | Limpar todos os filtros ativos |

#### Visualizações

| Tecla | Contexto | Ação |
|-----|---------|--------|
| `j` | Visualização de detalhes | Ver JSON bruto do componente com realce de sintaxe |
| `d` | Visualização JSON | Voltar para a visualização de detalhes |
| `Enter` | Visualização JSON | Exportar JSON do componente para arquivo |
| `?` | Qualquer visualização | Mostrar ajuda com todos os atalhos de teclado |

### Visualização de Detalhes do Componente

A visualização de detalhes mostra informações abrangentes do componente:
- Informações do pacote (nome, versão, PURL, namespace, fornecedor)
- Licenças com indicadores visuais
- Hashes de integridade
- CPEs (Common Platform Enumeration)
- Lista de dependências
- Identificadores (ID, BOM-ref, SPDX-ID)

## Modo Web UI

Inicie um explorador de SBOM baseado em navegador com upload de arquivo por arrastar e soltar:```bash
# Start web server on default port 8080
sbomlyze -web

# Start on custom port
sbomlyze -web --port 3000

Features: tree navigation, component details, search, license/hash inspection.

### `-web` (Modo Servidor Web)

Inicie um servidor web para exploração de SBOM baseada em navegador.```bash
# Default port 8080
sbomlyze -web

# Custom port
sbomlyze -web --port 3000

### `--format` / `-f`

Selecione o formato de saída. Sete formatos estão disponíveis:

| Formato | Flag | Descrição | Melhor Para |
|--------|------|-------------|----------|
| **text** | `--format text` (padrão) | Saída de terminal legível por humanos | Inspeção local |
| **json** | `--json` ou `--format json` | JSON estruturado | Pipelines de CI, scripting |
| **sarif** | `--format sarif` | SARIF 2.1.0 para GitHub Code Scanning | Integração com GitHub |
| **junit** | `--format junit` | Resultados de teste em XML JUnit | Dashboards de teste de CI |
| **markdown** | `--format markdown` | Relatório Markdown pronto para comentários em PR | Comentários em pull requests |
| **html** | `--format html` | Relatório HTML autocontido (CSS/JS inline) | Auditores, relatórios compartilháveis |
| **patch** | `--format patch` | Operações JSON Patch (RFC 6902) | Aplicação de patches programática |```bash
# SARIF output for GitHub Code Scanning
sbomlyze before.json after.json --format sarif > results.sarif

# JUnit output for CI test dashboards
sbomlyze before.json after.json --format junit > results.xml

# Markdown report for PR comments
sbomlyze before.json after.json --format markdown > report.md

# Self-contained HTML report
sbomlyze before.json after.json --format html > report.html

# JSON Patch operations
sbomlyze before.json after.json --format patch > changes.json

**Estrutura do JSON de estatísticas:**```json
{
  "stats": {
    "total_components": 71,
    "by_type": {"apk": 71},
    "by_license": {"MIT": 17, "BSD-3-Clause": 8},
    "without_license": 0,
    "with_hashes": 0,
    "without_hashes": 71,
    "total_dependencies": 176,
    "with_dependencies": 65,
    "duplicate_count": 0,
    "by_language": {"go": 45, "python": 12},
    "by_found_by": {"apk-db-cataloger": 71},
    "license_categories": {
      "copyleft": 8,
      "permissive": 55,
      "public_domain": 0,
      "unknown": 8
    },
    "with_cpes": 71,
    "without_cpes": 0,
    "with_purl": 71,
    "without_purl": 0
  },
  "warnings": []
}

Consulte [Mecanismo de Política](#policy-engine) para obter detalhes.

### `--strict`

Falha imediatamente em qualquer erro de análise.```bash
sbomlyze broken.json --strict
# Error parsing broken.json: unknown SBOM format
# exit status 1

Os avisos de parse incluem informações estruturadas: o arquivo de origem, uma mensagem legível por humanos e, opcionalmente, o campo que causou o problema.

### `--no-pager`

Desativa a paginação automática da saída. Útil ao canalizar a saída para outro comando ou ao executar em ambientes não interativos.```bash
sbomlyze image.json --no-pager
sbomlyze before.json after.json --no-pager | head -20

### Regras de Política

| Regra | Tipo | Descrição |
|------|------|-------------|
| `max_added` | int | Máximo de novos componentes permitidos (0 = ilimitado) |
| `max_removed` | int | Máximo de componentes removidos permitidos (0 = ilimitado) |
| `max_changed` | int | Máximo de componentes alterados permitidos (0 = ilimitado) |
| `deny_licenses` | []string | Lista de identificadores de licença proibidos |
| `require_licenses` | bool | Exigir que todos os componentes *adicionados* tenham licenças (verifica apenas componentes recém-adicionados no modo diff) |
| `deny_duplicates` | bool | Falhar se existirem pacotes duplicados no resultado |
| `deny_integrity_drift` | bool | Falhar se o hash do componente mudou sem alteração de versão (risco de cadeia de suprimentos) |
| `max_depth` | int | Falhar se houver novas dependências transitivas em profundidade >= N (0 = ilimitado) |
| `warn_supplier_change` | bool | Avisar (não falhar) se o fornecedor/autor do componente mudou |
| `warn_new_transitive` | bool | Avisar (não falhar) sobre quaisquer novas dependências transitivas |
| `min_ntia_score` | int | Falhar se a pontuação de conformidade NTIA estiver abaixo disso (0-100, 0 = desativado) |
| `min_cisa_score` | int | Falhar se a pontuação de conformidade CISA estiver abaixo disso (0-100, 0 = desativado) |
| `min_bsi_score` | int | Falhar se a pontuação de conformidade BSI estiver abaixo disso (0-100, 0 = desativado) |
| `min_overall_compliance` | int | Falhar se a pontuação geral de conformidade estiver abaixo disso (0-100, 0 = desativado) |

> Definir qualquer limite `min_*_score` aciona automaticamente a avaliação de conformidade, mesmo sem a flag `--compliance`.

### Exemplo: Política Estrita```json
{
  "max_added": 5,
  "max_removed": 3,
  "max_changed": 20,
  "deny_licenses": ["GPL-3.0", "AGPL-3.0", "SSPL-1.0"],
  "require_licenses": true,
  "deny_duplicates": true,
  "deny_integrity_drift": true,
  "max_depth": 3,
  "warn_supplier_change": true,
  "warn_new_transitive": true,
  "min_overall_compliance": 80
}

## Formatos de SBOM Suportados

| Formato | Detecção de Arquivo | Identificadores Extraídos |
|--------|----------------|----------------------|
| Syft (nativo) | chave JSON `"artifacts"` + uma entre `"source"`, `"distro"`, `"descriptor"` | PURL, CPE, name |
| CycloneDX | chave JSON `"bomFormat"` = `"CycloneDX"`, ou `"$schema"` contendo `cyclonedx` | PURL, CPE, BOM-ref, group (namespace) |
| SPDX | chave JSON `"spdxVersion"` começando com `"SPDX-"` | PURL, CPE, SPDXID |

Todos os formatos devem ser JSON. O suporte a XML não está disponível atualmente.

### Conversão de Formatos

sbomlyze pode converter entre qualquer um dos três formatos suportados:```bash
sbomlyze convert input.json --to spdx          # any format → SPDX 2.3
sbomlyze convert input.json --to cyclonedx     # any format → CycloneDX 1.5
sbomlyze convert input.json --to syft          # any format → Syft JSON

**Nota:** Diferentes formatos de SBOM extraem diferentes níveis de detalhe. Uma comparação entre formatos pode mostrar alterações que refletem diferenças de formato (por exemplo, disponibilidade de campo) em vez de alterações reais no sistema. O sistema de principais descobertas avisará sobre incompatibilidades de contexto de varredura quando detectadas.

## Correspondência de Identidade de Componentes

Os componentes são correspondidos usando um sistema de identidade baseado em precedência:

| Prioridade | Identificador | Exemplo | Descrição |
|----------|------------|---------|-------------|
| 1 | PURL | `pkg:npm/lodash` | URL do pacote (versão removida) |
| 2 | CPE | `cpe:vendor:product` | CPE vendor:product (versão removida) |
| 3 | BOM-ref / SPDXID | `ref:component-123` | bom-ref do CycloneDX ou identificador SPDX |
| 4 | Namespace + Name | `com.example/mypackage` | Grupo/namespace com nome |
| 5 | Name | `simple-package` | Fallback para apenas o nome |

## Integração CI/CD

### GitHub Actions

O SBOMlyze é fornecido como uma Action JavaScript sem dependências. Ele compara um SBOM head
verificado no repositório ou gerado separadamente com o arquivo na base git do pull request,
publica um Job Summary e, opcionalmente, produz SARIF ou atualiza um comentário do PR.```yaml
name: SBOM Check
on:
  pull_request:

permissions:
  contents: read

jobs:
  sbom-diff:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
        with:
          fetch-depth: 0

      - id: sbomlyze
        uses: rezmoss/sbomlyze@31503690611fda8ebba4ed2bd186eda000442594 # v0.5.1
        with:
          sbom-path: build/sbom.cdx.json
          policy: .github/sbom-policy.json
          fail-on: policy

### Alerta de Deriva de Integridade```bash
# Alert on any integrity drift (CI example)
if sbomlyze baseline.json current.json --json | jq -e '.diff.drift_summary.integrity_drift > 0' > /dev/null; then
  echo "⚠️  INTEGRITY DRIFT DETECTED - Investigate immediately!"
  exit 1
fi

### Gate de Conformidade```bash
# Fail the build if the SBOM doesn't meet minimum-element requirements
sbomlyze current.json --policy compliance-policy.json
# where compliance-policy.json sets min_overall_compliance / min_ntia_score / etc.

### Auditoria de Licenças```bash
# Check for GPL licenses in new dependencies
cat > audit-policy.json << EOF
{
  "deny_licenses": ["GPL-2.0", "GPL-3.0", "LGPL-2.1", "LGPL-3.0"],
  "require_licenses": true
}
EOF

sbomlyze old.json new.json --policy audit-policy.json

### Verificação de Conformidade```bash
# Score an SBOM and enforce a minimum
sbomlyze image.json --compliance

cat > compliance-policy.json << EOF
{
  "min_ntia_score": 90,
  "min_overall_compliance": 80
}
EOF

sbomlyze image.json --policy compliance-policy.json

### Explorar SBOM no Navegador```bash
# Generate SBOM and explore in web UI
syft alpine:latest -o json > alpine.json

# Start web server
sbomlyze -web

# Then open http://localhost:8080 and drag-drop alpine.json

## Desenvolvimento

### Executar Testes```bash
make test
# or
go test -v ./...

### Compilação```bash
make build-quick
# or
go build -o sbomlyze ./cmd/sbomlyze

## Contribuição

Contribuições são bem-vindas! Boas primeiras issues estão marcadas com o rótulo [`good first issue`](https://github.com/rezmoss/sbomlyze/issues?q=is%3Aissue+is%3Aopen+label%3A%22good+first+issue%22). Consulte [CONTRIBUTING.md](https://github.com/rezmoss/sbomlyze/blob/HEAD/CONTRIBUTING.md), se existir, e fique à vontade para abrir uma issue ou discussão para propor mudanças.



[ci]: https://github.com/rezmoss/sbomlyze/actions/workflows/ci.yml
[ci-img]: https://github.com/rezmoss/sbomlyze/actions/workflows/ci.yml/badge.svg
[marketplace]: https://github.com/marketplace/actions/sbomlyze-diff
[marketplace-img]: https://img.shields.io/badge/Marketplace-SBOMlyze%20Diff-blue?logo=github
[release]: https://github.com/rezmoss/sbomlyze/releases
[release-img]: https://img.shields.io/github/v/release/rezmoss/sbomlyze
[go-report]: https://goreportcard.com/report/github.com/rezmoss/sbomlyze
[go-report-img]: https://goreportcard.com/badge/github.com/rezmoss/sbomlyze
[license]: https://raw.githubusercontent.com/rezmoss/sbomlyze/main/LICENSE
[license-img]: https://img.shields.io/badge/License-Apache%202.0-blue.svg
[download]: https://github.com/rezmoss/sbomlyze/releases
[download-img]: https://img.shields.io/github/downloads/rezmoss/sbomlyze/total
[scorecard]: https://scorecard.dev/viewer/?uri=github.com/rezmoss/sbomlyze
[scorecard-img]: https://api.scorecard.dev/projects/github.com/rezmoss/sbomlyze/badge