The State of the SBOM Tool Ecosystems: A Comparative Analysis of SPDX and CycloneDX
本文通过分析数百种工具和数千份问题报告，对比了 SPDX 和 CycloneDX SBOM 工具生态系统，揭示了虽然 SPDX 拥有规模更大、更成熟的工具集和更广泛的采用率，但 CycloneDX 在开发者参与度和特定项目健康指标方面表现出更强的优势，从而凸显了两种格式互补的优势。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下你是一位经营着一家大型餐厅的厨师。为了让顾客感到安全和满意，你需要确切知道你提供的每一道菜里都有哪些食材。你需要知道面粉的品牌、牛奶的保质期，以及任何香料是否来自近期发生过污染问题的农场。
在软件的世界里，这种“成分表”被称为软件物料清单（Software Bill of Materials，简称 SBOM）。它是一份文档，列出了一个软件程序所使用的每一段代码和库。
然而，仅仅拥有一个清单是不够的；你需要合适的工具来编写、检查和更新这个清单。目前有两种主要的“语言”或格式来编写这些清单：SPDX 和 CycloneDX。你可以把它们想象成两种不同的食谱书。其中一种（SPDX）自 2010 年以来就一直存在，非常传统；而另一种（CycloneDX）始于 2017 年，更现代、更年轻。
这篇论文是一项关于这两个食谱书周围工具生态系统的大型研究。研究人员不仅看了食谱本身，还观察了帮助厨师编写和管理这些清单的厨房工具（软件程序）。
以下是他们的发现，通过简单的分类进行了说明：
1. 工具厨房：谁拥有什么？
研究人员查看了数百种工具（包括免费/开源工具和付费/专有工具），以了解它们能胜任哪些工作。
- “全能选手” vs. “专家”： 他们发现，付费（专有）工具就像全能大厨，几乎可以做任何事情：编写清单、分析清单、可视化清单以及修复清单。免费（开源）工具虽然也非常有用，但功能相对有限。它们非常擅长编写清单（构建），但在高级可视化或深度分析方面往往表现不佳。
- 格式的分工：
- CycloneDX 的工具像是“建造者”。它们非常擅长在软件构建过程中自动生成清单。
- SPDX 的工具则像是“图书管理员”。它们在对比清单、将清单从一种格式转换为另一种格式以及处理法律许可细节方面非常强大。
2. 社区氛围：谁更活跃？
研究人员检查了这些工具背后的“社区健康状况”（有多少人在贡献、他们在 GitHub 上有多少颗“星”、他们修复漏洞的速度有多快）。
- CycloneDX 是充满活力的后起之秀： 尽管 CycloneDX 的工具总量较少，但围绕它的社区要活跃得多。它们拥有更多的贡献者、更多的“星”（点赞），并且修复漏洞的速度快得多（快了约 67%）——这给人的感觉就像是一家繁忙、节奏极快的初创公司。
- SPDX 是资深的元老： 它拥有更多的工具和一个非常成熟、稳定的生态系统。然而，它的动作慢一些。它修复漏洞需要更长的时间，但它对法律和许可问题有着非常强大的关注，这符合它的初衷，因为它最初是作为一种追踪软件许可的工具而诞生的。
3. 它们在解决什么问题？
团队查看了数千份“错误报告”（投诉或求助请求），以了解人们在哪些方面感到困扰。
- CycloneDX 挣扎于“漏洞（Bugs）”： 由于它较新，最常见的投诉是关于东西坏了或无法正常工作。社区正忙于修复这些基础性的问题。
- SPDX 挣扎于“新功能”： 由于它更成熟且更稳定，最常见的请求是关于新功能或改进。人们并不常问“为什么这坏了？”，而是问“能不能增加这个酷炫的新功能？”
- 许可速度： 如果你在软件许可方面遇到问题，SPDX 修复得更快。如果你遇到一般的软件漏洞，CycloneDX 修复得更快。
4. 谁在使用什么？
研究人员查看了前 250 个最流行的软件项目，以观察它们使用的是哪本“食谱书”。
- “酷”项目： 使用 Go 和 Python（常用于安全和云计算）等现代语言编写的项目，往往更青睐 CycloneDX。这些项目通常非常活跃，拥有许多贡献者，且移动速度极快。
- “企业级”项目： 使用 Java 和 C#（常用于大型企业）编写的项目，往往更倾向于 SPDX。这些项目通常专注于严格的合规性和法律规则。
核心结论
论文得出结论：在 SPDX 和 CycloneDX 之间做出选择，不仅仅是选择一种格式，更是选择适合你需求的生态系统。
- 如果你正在构建一个快速迭代、注重安全的项目（如云应用），并且需要能够快速修复漏洞并能很好地集成到现代开发流程中的工具，那么 CycloneDX 及其活跃的社区可能是你的最佳选择。
- 如果你在一家法律合规至上的大型企业中工作，并且需要擅长转换格式和处理许可的工具，那么 SPDX 及其成熟、稳定的生态系统很可能是更好的选择。
简而言之：CycloneDX 是一个快速、敏捷、专注于修复漏洞的机器，而 SPDX 是一个可靠、精通法律的元老。 两者都至关重要，但它们服务于不同的目标。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。