最佳实践
建立软件物料清单（SBOM）
用结构化的 SBOM 记录产品所含软件组件及其来源与版本，为漏洞排查、供应链治理与合规核查提供基础。
实施步骤
1
梳理组件清单
盘点产品中的自有代码、第三方库与开源组件，形成结构化清单。
2
统一格式与字段
采用业界通用格式，记录组件名称、版本、来源与依赖关系。
3
自动化生成与更新
在构建流程中自动生成 SBOM，并随版本迭代同步更新。
4
关联漏洞追踪
将 SBOM 与漏洞库关联，快速定位受影响组件与版本。
常见误区
- 清单长期不更新，与实际构建版本脱节。
- 只覆盖直接依赖，遗漏传递依赖。