C++ 创建用于依赖关系跟踪的 SBOM jsom 文件（带有版本的代码依赖关系列表）

Question

我需要创建一份月度报告，其中包括 QT C++ 项目的 SBOM 文件（仍然适用于 QMake） C++ 的问题是：

• 它不包括每个包含的软件包的版本
• 尝试了名为 CycloneDX 的工具，但它仍然不提供来自 QMake（.pro 文件）的任何数据，并且没有包含的软件包版本的文档

我需要如何改进我的自动化报告的建议，什么工具可以为 QT C++ 项目依赖项制作 SBOM 报告？

您能为这项工作推荐一些更好的工具吗？和自动化？

谢谢，亚瑟。

Answer 1

我最近在为基于 C/C++ 的产品创建 SBOM 时也遇到了挑战。虽然 Labrador Labs (labradorlabs.ai) 等工具提供了构建 SBOM 的代码扫描功能，但我发现二进制分析工具（特别是 Netrise (netrise.io)）取得了更大的成功。我的工作主要涉及嵌入式系统，通常需要自定义脚本来打包各种二进制工件（例如共享库、文件系统、容器）。在这种情况下，二进制分析提供了更准确的扫描方法。一个复杂的问题是确保准确枚举进入固件映像的所有包，并避免包含尽管最初考虑过但最终未出现在最终映像中的包。