Maven Central中的软件材料清单
软件工程
2025-11-18 v1
摘要
软件材料清单(SBOM)是确保软件供应链透明度和完整性的关键要素。关于SBOM生成工具准确性和生产完整SBOM的挑战已有大量研究，但关于开发人员如何分发SBOM的知识仍较少。本文从Maven Central采集SBOM，评估开发人员随程序包一起发布SBOM的程度。我们基于Goblin框架开展工作，该框架包含Maven Central依赖图和一个Weaver，允许将额外数据添加到依赖图中。针对本研究，我们从Maven Central依赖图中抽取10%的发布节点，收集了14,071个SBOM，来自7,290个软件包发布。我们将收集的SBOM添加到Maven Central依赖图中。我们介绍了采集SBOM的方法，以及关于SBOM发布的新颖见解。该数据集是首个从软件包注册表中采集的SBOM集合。我们将其作为独立数据集公开，可用于未来关于SBOM和软件包分发的研究。
关键词
引用
@article{arxiv.2501.13832,
title = {Software Bills of Materials in Maven Central},
author = {Yogya Gamage and Nadia Gonzalez Fernandez and Martin Monperrus and Benoit Baudry},
journal= {arXiv preprint arXiv:2501.13832},
year = {2025}
}