随着软件供应链安全成为全球关注的焦点，软件物料清单（Software Bill of Materials，简称SBoM）逐渐成为保障软件透明度和安全性的重要工具。美国国家电信和信息管理局（NTIA）于2021年发布了SBoM的最低合规元素标准，意在推动软件供应链的风险管理和漏洞追踪。然而，即使在2025年，许多开发者和企业在实际操作中依然面临如何生成完全符合NTIA标准的SBoM的难题。本文将结合实际项目，详细讲解如何通过现有工具生成并优化符合NTIA最低要求的SBoM，帮助读者掌握实用且高效的工作流程。首先，理解NTIA对于SBoM的最低规范至关重要。NTIA要求SBoM至少应包含软件组件的名称、版本、供应商、许可证信息以及依赖关系等基本元素。
仅具备这些信息，才能保证供应链中每个组成部分的来源和版本明确，从而为安全分析和漏洞响应提供基础保障。对于开源项目或企业软件来说，生成SBoM的第一步是选择合适的工具。在众多生成工具中，基于CycloneDX生态的cdxgen被证明是较为通用且适用范围广泛的选择。以实际开源npm项目ReARM的前端代码为例，开发者首先需要克隆项目源码，进入相关目录并执行npm安装。随后，利用cdxgen工具生成初始的SBOM文件，文件格式为JSON，这为后续的合规性检测提供了基础数据。然而，初次生成的SBOM往往在供应商字段信息缺失或不完整，导致未能完全满足NTIA规范。
对此，利用专门的质量评估工具如sbomqs进行细致检查十分必要。sbomqs提供了对SBOM中关键元素的分数评估，能够精准指出缺失或不合规的部分，从而引导后续改进方向。为了提升SBoM中供应商信息的完整度，通常需要对SBOM文件进行丰富化处理，该过程称为“enrichment”。parlay是其中一种流行的辅助工具，通过调用ecosyste.ms数据库补充组件的供应商信息，它可以极大提高SBOM的质量和合规性。然而，利用parlay和ecosyste.ms存在一些限制，比如信息解析不全面以及数据遵循CC BY-SA 4.0许可协议，导致使用者在版权归属和共享许可方面面临束缚。针对这些限制，行业内开发了基于人工智能的解决方案——BEAR（BOM Enrichment and Augmentation by Reliza），该工具利用OpenAI或Gemini模型自动解析组件的供应商信息，并具备缓存功能加速处理速度。
BEAR以其开源特性和灵活的部署方式，在满足许可证宽松性需求的同时，也显著提升了SBOM的质量和合规水平。通过ReARM CLI的接口，用户可以轻松调用BEAR完成SBOM的供应商信息丰富。完成丰富后，再次运用sbomqs对SBOM进行合规性检测，能够成功达成NTIA最低元素的满分评价，确保生成的SBOM真正符合官方规范。在实际应用中，实现NTIA标准的SBoM不仅关乎工具的选择与操作流程，更涉及对信息准确性与采集完整性的高度把控。技术流程之外，理解相关许可协议、数据安全以及授权合规等问题同样不可忽视。通过推广如BEAR这类支持灵活授权并结合人工智能的工具，企业能够更自如地实现合规目标，同时降低法律和运营风险。
此外，针对持续集成流水线的自动化SBOM生成与验证策略，也是保证软件供应链安全的重要一环。在未来，随着软件生态的复杂性逐渐增加，SBOM管理的自动化与智能化需求将不断增长。通过结合现有开源和商业工具，构建完善且符合国际标准的SBOM体系，企业能够更有效地进行安全审计和风险控制，为软件供应链的安全稳定保驾护航。总结来说，生成NTIA合规的SBOM既是一项技术挑战，也是一种管理策略。利用像cdxgen和sbomqs这样的工具进行基础构建，配合parlay或更先进的BEAR进行信息丰富，是当前实践中的有效路径。与此同时，持续关注SBOM质量的进一步提升，参与行业标准的更新与讨论，将推动软件供应链透明度和安全性的整体进步。
面向未来，拥抱人工智能和开源技术的结合，为实现更广泛的SBOM应用奠定坚实基础，助力企业在复杂的软件生态系统中安全稳定发展。
