如何正确使用openEuler SBOM标准中的CONTAINS与DEPENDS_ON关系

如何正确使用openEuler SBOM标准中的CONTAINS与DEPENDS_ON关系

【免费下载链接】compliance-sbomDevelopment the SBOM stardard of the openEuler communtiy and related documents.项目地址: https://gitcode.com/openeuler/compliance-sbom

前往项目官网免费下载：https://ar.openeuler.org/ar/

openEuler SBOM标准是openEuler社区遵循ISO/IEC 5962:2021 SPDX v2.2规范制定的软件物料清单标准，其中组件间关系定义是确保SBOM准确性的核心要素。本文将详细解析CONTAINS、DEPENDS_ON等关键关系的正确使用方法，帮助开发者规范管理软件组件依赖。

🌟 SBOM关系定义的重要性

在软件供应链管理中，SBOM（软件物料清单）不仅需要列出组件信息，更需要清晰描述组件间的依赖关系。openEuler社区基于SPDX标准定义了两类核心关系：包含关系和依赖关系，它们直接影响软件合规性检查和安全漏洞追踪的准确性。

🔍 CONTAINS与CONTAINED_BY：包含关系的应用场景

定义与使用规则

• CONTAINS：表示父组件包含子组件（如项目包含库文件）
• CONTAINED_BY：子组件被父组件包含的反向关系

典型应用场景

1. 项目与文件：root Package元素包含多个File元素
   例：openEuler操作系统包包含/usr/bin/bash可执行文件
2. 文件与代码片段：File元素包含Snippet元素
   例：libc.so文件包含特定功能的代码片段
3. 库与子模块：复杂Library包含多个子Library
   例：glibc库包含math子模块

注意：包含关系适用于物理存在的组件嵌套，不适用于运行时依赖。详细规范可参考openEuler_SBOM_Standard.md第4-5节。

⚙️ DEPENDS_ON与DEPENDENCY_OF：依赖关系的规范使用

定义与使用规则

• DEPENDS_ON：表示组件运行时依赖其他组件
• DEPENDENCY_OF：被依赖组件的反向关系

适用场景

1. 包管理器依赖：通过rpm、npm等工具声明的依赖
   例：nginx包DEPENDS_ONopenssl库
2. 动态链接依赖：可执行文件依赖共享库
   例：python3可执行文件DEPENDS_ONlibpython3.9.so
3. 构建依赖：编译过程中需要的开发库
   例：gcc编译工具DEPENDS_ONglibc-devel

关键区别：依赖关系关注运行时或构建时的依赖需求，而非物理包含。具体要求见openEuler_SBOM_Standard.md第6节。

📝 关系定义使用的黄金法则

1. 包含关系优先：当组件物理包含时，优先使用CONTAINS而非DEPENDS_ON
2. 依赖方向明确：始终从依赖方指向被依赖方（如A DEPENDS_ON B）
3. 避免循环关系：确保关系链无环，防止解析错误
4. 最小化原则：仅定义必要关系，避免过度复杂的关系网络

🚀 实践案例：正确标记组件关系

案例1：应用程序与库文件

MyApp (Package) ├─ CONTAINS config.ini (File) ├─ CONTAINS main.py (File) └─ DEPENDS_ON requests (Library)

案例2：操作系统发行版

openEuler (Root Package) ├─ CONTAINS kernel (Package) │ └─ CONTAINS vmlinuz (File) ├─ CONTAINS glibc (Package) │ └─ DEPENDS_ON kernel-headers (Package) └─ DEPENDS_ON systemd (Package)

📚 官方文档与资源

• 完整标准定义：openEuler_SBOM_Standard.md
• SPDX规范参考：ISO/IEC 5962:2021
• 社区贡献指南：CONTRIBUTING.md

通过正确理解和使用这些关系定义，开发者可以构建出准确、可解析的SBOM文档，为openEuler社区的软件供应链安全提供基础保障。无论是包含关系还是依赖关系，清晰的定义都是实现自动化合规检查和漏洞追踪的关键。

【免费下载链接】compliance-sbomDevelopment the SBOM stardard of the openEuler communtiy and related documents.项目地址: https://gitcode.com/openeuler/compliance-sbom