10 bästa SBOM-verktygen med öppen källkod 2026

Recensioner av de bästa SBOM-verktygen med öppen källkod

1. 

   1

   FOSSA

   Bäst för kontinuerlig lic efterlevnad

   • Gratisplan
   • Från $20/projekt/månad (faktureras årsvis)

   Visit Website

   

   FOSSA är en plattform för programvarusammansättningsanalys som kombinerar generering av SBOM, skanning av licenser för öppen källkod, identifiering av sårbarheter och spårning av beroenden i kodbaser, containrar och binärfiler.

   Vem passar FOSSA bäst för?

   FOSSA passar särskilt bra för tekniska företags- och juridikteam som hanterar licenskrav för öppen källkod i stora kodbaser med flera kodförråd.

   Varför jag valde FOSSA

   Jag har tagit med FOSSA bland mina främsta val på grund av hur plattformen hanterar tillämpning av licenspolicyer på PR-nivå. I stället för att genomföra en engångsgranskning av efterlevnaden kör FOSSA automatiserade skanningar vid varje kodincheckning och tillämpar konfigurerbara licenspolicyer som kan blockera beroenden som inte uppfyller kraven innan de slås samman. Jag uppskattar också genereringen av erkännandenotiser, som automatiskt sammanställer lagstadgade erkännanden av öppen källkod direkt från skanningsresultaten.

   FOSSAs viktigaste funktioner

   • Skanning i flera ekosystem: Identifierar beroenden i fler än 27 språk, containrar, binärfiler och pakethanterare.
   • Val av SBOM-format: Exporterar programvaruförteckningar i både SPDX- och CycloneDX-format.
   • Import av SBOM från tredje part: Tar emot och analyserar externa SBOM-filer för en kombinerad riskbedömning på portföljnivå.
   • Automatiserad upptäckt av sårbarheter: Identifierar sårbarheter i öppen källkod och kopplar dem till SBOM-komponenter.

   FOSSA-integreringar

   FOSSA erbjuder inbyggda integreringar med GitHub, GitLab, Jenkins, Jira och Slack, tillhandahåller dessutom ett API för anpassade integreringar och stöder CI/CD-arbetsflöden via sitt CLI.

   Pros and Cons

   Pros:

   • Omfattande skanning av licenser och sårbarheter
   • Automatisk generering av rapporter om efterlevnad och erkännanden
   • Detaljerat stöd för import av SBOM från tredje part

   Cons:

   • Kärnplattformen är inte helt öppen källkod
   • Manuell sortering krävs ofta för komplexa resultat
   Learn more about FOSSA:

   • Check out FOSSA on their website
2. 

   2

   Tern

   Bäst för att analysera beroenden i containeravbildningar

   • Ej tillgänglig
   • Gratis för alltid

   Visit Website

   

   Tern är ett SBOM-verktyg med öppen källkod baserat på Python som granskar containeravbildningar och Dockerfiler lager för lager, inventerar OS-paket och beroenden med spårning av ursprung i utdataformaten SPDX och CycloneDX.

   Vem passar Tern bäst för?

   Tern passar bra för DevSecOps-ingenjörer och säkerhetsteam som hanterar containeriserade arbetsbelastningar och behöver detaljerad insyn i komponenter på lagernivå.

   Varför jag valde Tern

   Tern tar plats på min kortlista eftersom verktyget spårar containerpaket tillbaka till den exakta Dockerfile-instruktion som introducerade dem. De flesta SBOM-verktyg berättar vad som finns i en container; Tern berättar hur det hamnade där. Jag uppskattar också funktionen för låsta Dockerfiler, som låser fast det grundläggande operativsystemet och paketen, så att byggen kan återskapas från ett känt och dokumenterat komponenttillstånd.

   Viktiga funktioner i Tern

   • Analys av Dockerfiler med flera steg: Analysera och generera SBOM:er för varje steg i Dockerfiler med flera steg.
   • Flera utdataformat för SBOM: Mata ut SBOM:er i formaten SPDX, CycloneDX, läsbart för människor, JSON, HTML och YAML.
   • Officiell GitHub-åtgärd: Kör containeranalys med Tern direkt i CI-pipelines med hjälp av en underhållen GitHub-åtgärd.
   • Utökningar för Scancode och cve-bin-tool: Integrera licensidentifiering och sårbarhetsskanning genom valfria utökningar.

   Terns integrationer

   Tern erbjuder inbyggda integrationer med GitHub Actions och Skopeo för åtkomst till containerregister samt stöd för licens- och sårbarhetsskanning genom de inbyggda utökningarna Scancode och cve-bin-tool. Det kan även distribueras som ett Kubernetes-jobb, men något API är inte tillgängligt för anpassade integrationer.

   Pros and Cons

   Pros:

   • Spårning av ursprung för varje containerlager
   • Mappar paket till Dockerfile-instruktioner
   • Valfria utökningar för licens- och CVE-skanning

   Cons:

   • Begränsad analys av ekosystem för språkpaket
   • Projektuppdateringarna har stannat av sedan 2023
   Learn more about Tern:

   • Check out Tern on their website
3. 

   3

   SPDX

   Bäst för standardisering av data för mjukvarupaket

   • Inte tillgängligt
   • Gratis för alltid

   Visit Website

   

   SPDX är en ISO-ratifierad öppen standard och ett verktygsekosystem, som underhålls av Linux Foundation, för att generera, validera och konvertera SBOM-dokument för mjukvarupaket, containrar och leveranskedjeartefakter.

   Vem passar SPDX bäst för?

   OSPO-ansvariga och arkitekter för mjukvaruleveranskedjor som behöver ett efterlevnadsanpassat, leverantörsneutralt SBOM-format för juridisk granskning, upphandling och myndighetsinlämningar får ut mest av SPDX.

   Varför jag valde SPDX

   SPDX hamnar på min kortlista eftersom inget annat SBOM-format med öppen källkod matchar dess djup inom standardisering av metadata. Jag förlitar mig på dess åtskillnad mellan deklarerade och fastställda licenser, vilket är avgörande när juridiska granskningsteam behöver hållbara efterlevnadsregister. Den välunderhållna SPDX-licenslistan tilldelar konsekventa korta identifierare till varje komponent, så att SBOM-dokument förblir jämförbara mellan verktyg, team och organisationer, oavsett vem som genererade dem.

   Viktiga funktioner i SPDX

   • Flera dokumentformat: Exportera SBOM-filer i formaten JSON, YAML, Tag-Value eller RDF/XML för flexibel integrering med olika verktyg.
   • SPDX-verktyg online: Använd webbläsarbaserade verktyg för att validera, jämföra och konvertera SBOM-filer utan att installera lokal programvara.
   • Officiella språkbibliotek: Åtkomst till och generering av SPDX-dokument programmatiskt med hjälp av underhållna bibliotek för Java, Python, Go och JavaScript.
   • Maven-pluginintegrering: Generera SPDX-SBOM-filer automatiskt under byggprocesser för Java-projekt genom en officiell Maven-plugin.

   SPDX-integreringar

   SPDX erbjuder inbyggda integreringar med GitHub, Maven, Yocto Project, OpenEmbedded och Kubernetes samt officiella SDK:er för Java, Python, Go och JavaScript. Ett API finns tillgängligt för anpassade integreringar.

   Pros and Cons

   Pros:

   • Standardiserat stöd för licens- och säkerhetsmetadata
   • Brett använt inom ekosystem med öppen källkod
   • Kompatibelt med flera SBOM-format direkt från början

   Cons:

   • Gränssnittet är i hög grad beroende av kommandoradsverktyg
   • Begränsat inbyggt stöd för binär analys
   Learn more about SPDX:

   • Check out SPDX on their website
4. 

   4

   SCANOSS

   Bäst för att upptäcka komponenter i kodbaser

   • 7 dagars kostnadsfri provperiod
   • Från €35,000/år (faktureras årsvis)

   Visit Website

   

   SCANOSS är en plattform för analys av programvarukomponenter med öppen källkod som skannar källkod på kodfragmentnivå för att generera SBOM:er i formaten SPDX och CycloneDX, upptäcka licensrisker, identifiera sårbarheter och kartlägga användningen av kryptografi i kodbaser och containrar.

   Vem passar SCANOSS bäst för?

   SCANOSS passar bra för DevSecOps-team och OSPO:er i medelstora till stora organisationer som hanterar efterlevnad för öppen källkod i stora kodbaser med flera programmeringsspråk.

   Varför jag valde SCANOSS

   SCANOSS tar plats på min kortlista tack vare sin skanning på kodfragmentnivå, som går långt utöver manifestbaserad identifiering. Jag har använt verktyg som helt missar levererad kod eller kopierade funktioner, men SCANOSS matchar källkodsfragment mot över 100 miljoner filer med öppen källkod i OSSKB. Jag uppskattar också datamängden för geografiskt och upphovsmässigt ursprung, som synliggör komponenternas geografiska och upphovsmässiga ursprung – något jag inte har sett i andra SBOM-verktyg med öppen källkod.

   Viktiga funktioner i SCANOSS

   • SBOM-arbetsbänk: Visuellt gränssnitt för skanning och granskning av källkod med hjälp av SCANOSS API.
   • Krypteringsdatamängd: Identifierar kryptografiska algoritmer och deras användning för att stödja ECCN- och efterlevnadsgranskningar.
   • Licensdatamängd: Kopplar komponenter med öppen källkod till licensvillkor och tydliggör kompatibilitets- eller policyrelaterade risker.
   • SDK:er för flera språk: Tillhandahåller SDK:er för Python, Java och JavaScript för att stödja olika utvecklingsmiljöer.

   SCANOSS-integrationer

   SCANOSS erbjuder inbyggda integrationer med GitHub Actions, Jenkins, GitLab CI, VS Code och IntelliJ samt tillhandahåller SDK:er för Python, Java och JavaScript. Ett API finns tillgängligt för anpassade integrationer.

   Pros and Cons

   Pros:

   • Identifiering av komponenter i kodbaser på kodfragmentnivå
   • Registrerar geografiskt och upphovsmässigt ursprung för programvara
   • Identifiering av kryptografiska algoritmer för efterlevnad

   Cons:

   • Begränsad skanning av OS-paket och IaC
   • Avancerade funktioner kan kräva teknisk konfigurering
   Learn more about SCANOSS:

   • Check out SCANOSS on their website
5. 

   5

   GUAC

   Bäst för att länka metadata för leveranskedjan

   • Inte tillgänglig
   • Gratis för alltid

   Visit Website

   

   GUAC är ett verktyg med öppen källkod för säkerhet i leveranskedjan som tar in SBOM:er, sårbarhetsdata och ursprungsattesteringar och sedan kartlägger relationerna mellan dem i en frågebaserad grafdatabas.

   Vilka passar GUAC bäst för?

   GUAC passar bra för säkerhets- och DevSecOps-team som hanterar stora programvaruportföljer och behöver insyn i leveranskedjan för hela portföljen, utöver vad verktyg för enskilda SBOM:er kan erbjuda.

   Varför jag valde GUAC

   GUAC hamnar på min kortlista eftersom inget annat verktyg med öppen källkod länkar metadata för leveranskedjan på samma sätt. Jag uppskattar att det tar in SBOM:er från flera källor, tolkar dem i en grafdatabas och låter mig fråga efter transitiva beroenden i hela min portfölj på en gång. Genom att hämta kompletterande information från OSV och deps.dev synliggör grafen sårbarhetsexponering som en rå SBOM ensam skulle missa.

   GUAC:s viktigaste funktioner

   • GraphQL- och REST-API:er: Exponerar hela metadatagrafer för frågor och integration.
   • Stöd för SPDX och CycloneDX: Tar in och normaliserar standardiserade SBOM-format för konsekvent behandling.
   • Visualiseringsgränssnitt: Visar relationer i leveranskedjan och dataflöden i ett navigerbart webbaserat grafiskt gränssnitt.
   • Utbyggbar backendarkitektur: Kan köras med minnesbaserade eller beständiga backends som PostgreSQL för flexibel driftsättning.

   GUAC-integrationer

   GUAC erbjuder inbyggda integrationer med Open Source Insights deps.dev, Open Source Vulnerabilities (OSV), SPDX, CycloneDX och ClearlyDefined samt både GraphQL- och REST-API:er för anpassade integrationer.

   Pros and Cons

   Pros:

   • Visualiserar länkar mellan leveranskedjor i olika projekt
   • Tar in SBOM:er i både SPDX- och CycloneDX-format
   • Samlar in ursprungsinformation från SLSA-attesteringar

   Cons:

   • Genererar inte SBOM:er självt
   • Inga officiella pluginprogram för CI/CD-pipelines
   Learn more about GUAC:

   • Check out GUAC on their website
6. 

   6

   OWASP Dependency-Track

   Bäst för riskövervakning i realtid

   • Inte tillgängligt
   • Gratis för alltid

   Visit Website

   

   OWASP Dependency-Track är en plattform med öppen källkod för komponentanalys som importerar CycloneDX SBOM:er för att inventera programvarukomponenter i projekt, upptäcka sårbarheter, upprätthålla licenspolicyer och övervaka säkerheten i programvaruförsörjningskedjan på portföljnivå.

   Vem passar OWASP Dependency-Track bäst för?

   Det är ett utmärkt val för DevSecOps- och applikationssäkerhetsingenjörer som behöver övervaka sårbarheter i hela portföljen inom komplexa programvaruförsörjningskedjor med flera projekt.

   Varför jag valde OWASP Dependency-Track

   Jag har tagit med OWASP Dependency-Track bland mina främsta val eftersom inget annat verktyg med öppen källkod kan mäta sig med dess kontinuerliga sårbarhetsövervakning i realtid över en hel programvaruportfölj. I stället för att skanna på begäran speglar det dataflöden från NVD, OSV och GitHub Advisories, så att varje komponent automatiskt utvärderas på nytt när nya CVE:er publiceras. Jag uppskattar också prioriteringen baserad på EPSS högt, eftersom den visar vilka sårbarheter som sannolikt kommer att utnyttjas i praktiken, inte bara vilka som har högst CVSS-poäng.

   Viktiga funktioner i OWASP Dependency-Track

   • Fullständig inventering: Spåra bibliotek, containrar, operativsystem, inbyggd programvara, maskinvara och tjänster i alla projektversioner.
   • Stöd för CycloneDX SBOM: Importera, analysera och skapa CycloneDX SBOM-, HBOM-, VEX- och VDR-dokument.
   • Policytillämpning baserad på uttryck: Konfigurera avancerad åtkomstkontroll och policyregler med CEL för att automatisera åtgärder.
   • API-först-integrering: Använd det väldokumenterade REST-API:et för att ansluta till CI/CD och automatisera import och rapportering av SBOM:er.

   Integreringar med OWASP Dependency-Track

   OWASP Dependency-Track erbjuder inbyggda integreringar med Slack, Microsoft Teams, Mattermost, GitHub, GitLab, Jenkins, Snyk, Trivy och Sonatype OSS Index, samt stöd för anpassade integreringar via REST-API:et.

   Pros and Cons

   Pros:

   • Analys i realtid på nytt när nya sårbarheter offentliggörs
   • Stöd för CycloneDX SBOM, VEX och VDR
   • Fullständig inventering inklusive maskinvara och inbyggd programvara

   Cons:

   • Kan inte skapa SBOM:er från källkod
   • Saknar inbyggt stöd för SPDX-formatet
   Learn more about OWASP Dependency-Track:

   • Check out OWASP Dependency-Track on their website
7. 

   7

   cdxgen

   Bäst för automatiserad CycloneDX-SBOM-generering

   • Inte tillgängligt
   • Gratis för alltid

   Visit Website

   

   cdxgen är en OWASP-generator för SBOM-dokument med öppen källkod som producerar CycloneDX-materialförteckningar för över 20 språk, pakethanterare, containeravbildningar och artefakttyper – inklusive kryptografi, drift, SaaS- samt AI/ML-komponenter.

   Vem passar cdxgen bäst för?

   cdxgen passar bra för DevSecOps-ingenjörer och applikationssäkerhetsteam som hanterar polyglotta kodbaser och behöver SBOM-generering direkt integrerad i CI/CD-pipelines.

   Varför jag valde cdxgen

   cdxgen tar plats på min kortlista eftersom det är referensimplementationen för CycloneDX-SBOM-generering och stöder specifikationsversionerna 1.4 till 1.7 med djupgående lösning av transitiva beroenden i över 20 ekosystem. Det jag verkligen imponerades av är nåbarhetsanalysen via atom, som genererar bevis från anropsstacken för att visa om en sårbar funktion faktiskt nås av din kod. Jag använder också cdxgen för att producera CBOM- och OBOM-dokument tillsammans med vanliga SBOM-dokument, vilket täcker kryptografisk inventering och komponenter på operativsystemnivå i ett enda verktyg.

   Viktiga funktioner i cdxgen

   • Inbyggd Dependency-Track-integration: Skickar automatiskt genererade SBOM-dokument till en Dependency-Track-server för vidare analys.
   • Universellt SBOM-läge: Samlar komponenter från alla upptäckta manifest i polyglotta kodbaser med ett enda kommando.
   • RSA-signering av materialförteckningar: Stöder kryptografisk signering och verifiering av SBOM-dokument via JSON-webbsignaturer.
   • Insamling av licens- och härkomstmetadata: Extraherar licenser, PURL:er, CPE:er och källbevis för varje komponent.

   Integrationer med cdxgen

   cdxgen erbjuder inbyggda integrationer med OWASP Dependency-Track och OWASP dep-scan, stöder GitHub Actions och tillhandahåller ett API för anpassade integrationer i CI/CD-pipelines.

   Pros and Cons

   Pros:

   • Inbyggt CycloneDX-stöd upp till specifikation 1.7
   • SBOM-generering för över 20 ekosystem
   • Inbyggd nåbarhets- och härkomstanalys

   Cons:

   • Ingen inbyggd SPDX-utdata
   • Begränsade alternativ för grafiskt användargränssnitt
   Learn more about cdxgen:

   • Check out cdxgen on their website
8. 

   8

   Microsoft SBOM Tool

   Bäst för att generera SPDX-SBOM-filer

   • Inte tillgängligt
   • Gratis för alltid

   Visit Website

   

   Microsoft SBOM Tool är ett CLI-verktyg med öppen källkod som automatiskt genererar SPDX-kompatibla SBOM-filer genom att skanna beroenden i flera ekosystem, samla in komponentmetadata och validera eller redigera SBOM-resultat för olika byggen och artefakter.

   Vem passar Microsoft SBOM Tool bäst för?

   Det passar särskilt bra för DevSecOps-ingenjörer och AppSec-team som arbetar i GitHub- eller Azure DevOps-miljöer och behöver storskalig SPDX-SBOM-generering inbyggd i sina pipelines.

   Varför jag valde Microsoft SBOM Tool

   Microsoft SBOM Tool hamnar på min kortlista tack vare det inbyggda stödet för både SPDX 2.2 och SPDX 3.0, vilket ger det ett försprång framför de flesta alternativ med öppen källkod som bara riktar sig mot en version. Jag uppskattar särskilt de inbyggda kommandona validate och redact: validate bekräftar en befintlig SBOM mot en känd leveranssökväg, medan redact tar bort filreferenser innan extern delning. Det är också samma verktyg som Microsoft använder internt i hela sin egen programvaruportfölj, vilket säger en hel del om dess tillförlitlighet i stor skala.

   Viktiga funktioner i Microsoft SBOM Tool

   • Bibliotek för komponentidentifiering: Skannar ett brett urval av pakethanterare och ekosystem med hjälp av Microsofts egen motor för komponentidentifiering.
   • Integration med ClearlyDefined API: Berikar SBOM-filer med licensdata som hämtas automatiskt från ClearlyDefined API.
   • Stöd för flera operativsystem: Körs på Windows, macOS och Linux och stöder olika utvecklings- och byggmiljöer.
   • Flera distributionsmetoder: Finns som ett WinGet-paket, en Homebrew-formel, en Docker-avbildning och ett globalt .NET-verktyg.

   Integrationer med Microsoft SBOM Tool

   Microsoft SBOM Tool erbjuder inbyggda integrationer med GitHub Actions och Azure DevOps Pipelines för automatiserad SBOM-generering i CI/CD-arbetsflöden. Ett API finns tillgängligt för anpassade integrationer.

   Pros and Cons

   Pros:

   • Genererar SBOM-filer i både SPDX 2.2 och 3.0
   • Skannar inbyggt beroenden i flera ekosystem
   • Inkluderar licensdata från ClearlyDefined API

   Cons:

   • Inget stöd för CycloneDX-formatet
   • Källkodsbidrag är begränsade till Microsofts team
   Learn more about Microsoft SBOM Tool:

   • Check out Microsoft SBOM Tool on their website
9. 

   9

   Syft

   Bäst för snabbt skapande av programvaruförteckningar

   • Inte tillgängligt
   • Alltid gratis

   Visit Website

   

   Syft är ett CLI-verktyg och Go-bibliotek med öppen källkod, utvecklat av Anchore, som genererar SBOM:er från containeravbildningar, filsystem, källkod och arkiv inom över 30 paketekosystem, med utdata i formaten SPDX, CycloneDX och Syft JSON.

   Vem passar Syft bäst för?

   Syft passar naturligt för DevSecOps-tekniker och applikationssäkerhetsteam som behöver bädda in SBOM-generering direkt i CI/CD-pipelines.

   Varför jag valde Syft

   Syft finns med på min kortlista eftersom inget annat SBOM-verktyg med öppen källkod matchar dess katalogiseringsdjup i den här hastigheten. Det körs som en enda kompilerad binärfil utan externa beroenden, så jag kan lägga in det i vilken pipeline som helst och omedelbart börja generera SBOM:er från containeravbildningar eller filsystem. Dess inställning att 'om det finns där berättar vi om det' fångar transitiva beroenden inom över 30 ekosystem, inklusive Go-binärfiler och Java-arkiv som andra verktyg ofta missar.

   Viktiga funktioner i Syft

   • Konvertering mellan SBOM-format: Konvertera genererade SBOM:er mellan formaten SPDX, CycloneDX och Syft JSON.
   • Paketsökning på filnivå: Identifiera och inventera programvarukomponenter på filnivå i avbildningar och arkiv.
   • Signerad SBOM-attestering: Skapa kryptografiskt signerade SBOM-attesteringar med hjälp av in-toto-specifikationen.
   • Officiellt stöd för GitHub Actions: Integrera SBOM-generering direkt i GitHub-arbetsflöden med en underhållen action.

   Syft-integreringar

   Syft erbjuder en officiell GitHub Action för inbyggd integrering med GitHub-arbetsflöden, stöder Docker-baserad distribution för användning med Docker- och OCI-avbildningar och tillhandahåller ett CLI för användning med Jenkins, GitLab och andra CI-pipelines. Ett API och ett Go-bibliotek finns tillgängliga för anpassade integreringar.

   Pros and Cons

   Pros:

   • Hanterar över 30 ekosystem och format
   • Ger utdata i SPDX-, CycloneDX- och Syft JSON-format
   • CLI:t körs i Docker, CI/CD och lokalt

   Cons:

   • Ingen inbyggd sårbarhetsskanning
   • Begränsat stöd för Windows-paketekosystem
   Learn more about Syft:

   • Check out Syft on their website
10. 

    10

    Protobom

    Bäst för att översätta mellan SBOM-format

    • Inte tillgängligt
    • Alltid gratis

    Visit Website

    

    Protobom är ett bibliotek med öppen källkod i Go, som hostas av OpenSSF och tillhandahåller en formatneutral datamodell för att ta emot, generera och konvertera SBOM-dokument mellan standarderna SPDX och CycloneDX.

    Vem passar Protobom bäst för?

    Protobom passar mycket bra för arkitekter inom programvaruförsörjningskedjor och DevSecOps-ingenjörer som bygger eller utökar verktyg för SBOM i Go.

    Varför jag valde Protobom

    Jag valde Protobom som ett av de bästa alternativen eftersom den protobuf-baserade datamodellen hanterar översättning mellan SPDX 2.3 och CycloneDX 1.4–1.6 utan att data går förlorade under processen. Jag gillar att Reader abstraherar bort formatspecifik parsning, så att mitt team kan anropa reader.ParseFile() för alla SBOM-filer som stöds och arbeta med en enda konsekvent mellanrepresentation. Det innebär att konvertering av ett CycloneDX 1.6-dokument till SPDX 2.3 JSON handlar om att byta serialiserare, inte om att skriva om verktygen.

    Viktiga funktioner i Protobom

    • Go-biblioteks-API: Ger programmatisk åtkomst för att bygga, läsa och skriva SBOM:er direkt i Go-projekt.
    • Förlustfri inläsning av SBOM: Tolkar SBOM:er i format som stöds utan att missa datafält eller relationer.
    • Gemenskapsstyrning: Hanteras som ett OpenSSF-sandlådeprojekt med öppna bidrag och transparenta granskningsprocesser.
    • Referensverktyg för kommandoraden: Innehåller ett exempelverktyg kallat sbom-convert som demonstrerar arbetsflöden för inläsning och serialisering från början till slut.

    Integrationer för Protobom

    Inbyggda integrationer omfattar referensverktyget sbom-convert och stöd för OpenSSF-verktyget bomctl. Ett API finns tillgängligt för anpassade integrationer.

    Pros and Cons

    Pros:

    • Schemat täcker alla SPDX- och CycloneDX-fält
    • Referensverktyget för kommandoraden demonstrerar användning av API:et
    • Förlustfri konvertering mellan formatversioner

    Cons:

    • Ingen inbyggd funktion för att generera SBOM
    • Endast Go-SDK:n underhålls
    Learn more about Protobom:

    • Check out Protobom on their website