关于SBOM中标准与工具之间遵循性差距的大规模实证分析
软件工程
2026-01-21 v1
摘要
软件物料清单（SBOM）是一种机器可读的工件，它系统地组织软件信息，以增强供应链的透明度和安全性。为促进SBOM的交换和利用，Linux基金会和OWASP等组织提出了SBOM标准。遵循这些标准，各组织开发了用于生成和利用SBOM的工具。然而，关于这些SBOM工具对标准规范的遵循程度，研究十分有限，这一差距可能导致合规失败和SBOM利用中断。本文使用我们的自动化评估框架SAP，首次对遵循性差距进行了大规模、两阶段的实证分析。该评估包括基线评估和为期一年的纵向跟踪，涵盖了由六种SBOM工具从3,287个真实世界仓库生成的55,444份SBOM。我们的分析揭示了当前SBOM工具中持续存在的根本性局限：（1）对策略要求的合规支持不足；（2）工具间一致性差，包括跨语言包检测的工具间一致性率低至7.84%至12.77%，以及显著的纵向不一致性，即工具与其自身先前版本的一致性较低；（3）详细软件信息的准确性一般或较差，例如，包许可证的准确性低于20%。我们分析了这些差距的根本原因，并提供了实用的解决方案。所有代码、可复现的Docker镜像、评估结果均在[GitHub](https://github.com/dw763j/SAP)和[Zenodo](https://doi.org/10.5281/zenodo.14998624)上开源，以供进一步研究。
引用
@article{arxiv.2601.05622,
title = {A Large Scale Empirical Analysis on the Adherence Gap between Standards and Tools in SBOM},
author = {Chengjie Wang and Jingzheng Wu and Hao Lyu and Xiang Ling and Tianyue Luo and Yanjun Wu and Chen Zhao},
journal= {arXiv preprint arXiv:2601.05622},
year = {2026}
}
备注
35 pages, 4 figures, 18 tables. Accepted by ACM Trans. Softw. Eng. Methodol. (January 2026)