cdxgen/cdxgenСоздаёт CycloneDX Bill of Materials (BOM) для ваших проектов из исходного кода и образов контейнеров. Поддерживает множество языков и менеджеров пакетов. Интегрируется в ваш CI/CD конвейер с автоматической отправкой на сервер Dependency Track
cdxgen — это CLI-инструмент, библиотека, REPL и сервер для создания, проверки, подписи и верификации программных BOM. Он генерирует CycloneDX JSON BOM и поддерживает экспорт в SPDX 3.0.1 JSON-LD. CycloneDX — это полнофункциональная спецификация BOM, которую легко создавать, которая читается как человеком, так и машиной и просто разбирается. Инструмент генерирует BOM, ориентированные на версии спецификации CycloneDX 1.6, 1.7 и 2.0, а вывод можно понизить до 1.4 или 1.5 для устаревших потребителей.
Поддерживаемые форматы BOM:
Поддерживаемые форматы выходных документов:
cdxgen --format spdx или cdx-convert)| Персона | Что cdxgen помогает вам делать | Первая команда | Что читать далее |
|---|---|---|---|
| Разработчики | Создать CycloneDX BOM из локального репозитория, git URL, purl или образа контейнера | cdxgen -o bom.json . | [Использование CLI][docs-cli], [Поддерживаемые типы проектов][docs-project-types] |
| Команды AI-платформ | Создавать AI/ML BOM, каталогизировать поверхности промптов/моделей/MCP и управлять AI-BOM-гovernance | aibom . | Руководство по AI-BOM, Урок по AI-BOM |
| Команды по оборудованию | Создать HBOM или объединённое представление хоста HBOM+OBOM для текущего хоста | hbom -o hbom.json | Руководство по HBOM, Урок по HBOM |
| AppSec | Обогащать BOM доказательствами, запускать правила аудита BOM и передавать данные в последующие процессы безопасности | cdxgen -o bom.json --profile appsec --evidence --bom-audit . | Аудит BOM, Модель угроз |
| Инженеры сборки | Оценивать, насколько полно SBOM отразил проект, и получать ранжированные исправления, когда среда сборки ухудшила его | cdxgen --profile introspect --introspect-fail-below 70 -o bom.json . | Интроспекция сборки, Навык цикла достоверности SBOM |
| Аналитики SOC | Создавать инвентаризации OBOM для работающих хостов и разбирать проблемы состояния среды выполнения | obom -o obom.json --deep --bom-audit --bom-audit-categories obom-runtime | Уроки по OBOM, [Использование сервера][docs-server] |
| Команды комплаенса | Проверять качество BOM, проверять соответствие SCVS/CRA и экспортировать артефакты SPDX | cdx-validate -i bom.json --benchmark scvs-l2,cra | cdx-validate, cdx-convert, [Разрешения][docs-permissions] |
| Команды безопасности | Динамически трассировать выполнения для захвата криптографической активности, свойств CBOM, программных компонентов и сервисов | tracebom --cmd "npm test" --trace-crypto -o cbom.json | Модель угроз |