SBOM，说白了就是**软件的配料表**——把一个软件里用了哪些“原料”（别人写的代码零件）、各是什么版本、有没有掺“问题食材”，明明白白列成一张机器可读的清单。你买酸奶能看配料表，但你手机里装的APP、公司用的办公系统，里面掺了哪些来路不明的代码，你从来不知道——SBOM就是来终结这种“睁眼瞎”的。 为什么现在值得了解？因为就在**2026年9月11日**，欧盟《网络弹性法案》（CRA）的安全漏洞报告义务正式生效，SBOM正是法案里白纸黑字要求的交付物。全球软件业正被推着交“配料表”，这件事很快会影响到每个买软件、卖软件、写软件的人。 ## 目录 1. SBOM是什么？——软件界的配料表 2. 为什么最近这么火？——四次“翻车”烧出来的刚需 3. 一张图看懂——SBOM怎么救命 4. 和我有什么关系？——普通人、开发者、企业各看一眼 5. 一分钟总结 6. 延伸阅读 7. 参考来源 --- ## 一、SBOM是什么？——软件界的配料表 ### 1. 先看一个你熟悉的场景 你走进超市拿起一瓶酸奶，翻到背面：生牛乳、白砂糖、保加利亚乳杆菌、嗜热链球菌……一目了然。哪怕你不懂食品工程，也能避开自己过敏的成分。 再想象另一个场景：某天新闻爆出“某款酸奶用了问题奶粉，全部召回”。食品厂能精准召回，正是因为**每瓶酸奶的配料和批次都有据可查**。 现在换到软件界：2021年12月，一个叫Log4Shell的“史诗级漏洞”爆发（后文细讲），全球IT部门连夜排查——结果发现一个尴尬的问题：**没人说得清自己公司到底有多少软件用了出事的那个组件**。有人形容那场面，就像食品厂出了食安事故，厂长却发现工厂从来没有配料记录，只能把仓库里所有酸奶一瓶瓶撬开化验。 SBOM（Software Bill of Materials，软件物料清单）就是为治这个病而生的：**给每个软件配一张配料表**。 ### 2. 这张“配料表”上写什么？ 按照美国NTIA（国家电信和信息管理局）2021年发布的“最低要素”标准，一张合格的SBOM至少要写清： - **供应商**：这个组件是谁家的（好比配料产自哪个工厂）； - **组件名和版本号**：用了Log4j，是2.14.1版——版本号极其关键，因为漏洞往往只影响特定版本，就像“只有2021年3月批次的问题奶粉要召回”； - **唯一标识符**：给每个零件发“身份证号”； - **依赖关系**：你的软件用了A组件，A组件又用了B组件，B还用了C——层层嵌套，像“配料里还套着配料”； - **生成时间和作者**：这张清单本身是谁、什么时候出的，方便追溯。 关键要求是**机器可读**——不是让人拿肉眼看的PDF，而是让安全扫描软件能自动“查户口”的结构化数据。 ### 3. 三个主流“格式标准” 就像食品配料表有各国法规模板，SBOM也有几种主流写法： - **SPDX**：由Linux基金会主导，2021年已成为国际标准（ISO/IEC 5962），生态最老牌； - **CycloneDX**：OWASP（开放式Web应用安全项目，就是出“OWASP十大漏洞榜单”的那个机构）出品，格式轻巧，安全圈用得多； - **SWID**：ISO的老牌标签标准，偏IT资产管理。 三者关系好比不同的“表格模板”，内容大同小异，行业正在推动互相兼容。你可以不懂细节，只需记住：**以后听到“这份软件附带了SPDX/CycloneDX格式的SBOM”，意思就是它交了正规配料表。** ### 4. 它到底解决什么问题？ 现代软件几乎没人从零写起。一个普通APP，动辄调用几百上千个“现成零件”——开源库（全世界程序员免费贡献的公共代码）、第三方SDK（别人封装好的功能包）。业内估计，商业软件里**70%~90%的代码来自别人**。这些零件叫“依赖”（dependencies）——你的软件“依赖”它们才能跑。 问题在于：零件坏了，你得先知道车上有这个零件。SBOM干的就是这一件事——**让软件从黑箱变白箱**。它自己不防黑客，但它是后续一切防守的地基：排查漏洞、评估风险、合规交付，全靠它。 --- ## 二、为什么最近这么火？——四次“翻车”烧出来的刚需 SBOM不是新概念，制造业的BOM（物料清单）用了几十年，软件界谈了十来年。真正把它从“冷门概念”烧成“全球刚需”的，是一连串惨痛的翻车现场。 ### 1. 第一把火：SolarWinds事件（2020） 2020年底曝光的SolarWinds供应链攻击，堪称“软件界的毒奶粉事件”：黑客入侵了一家网络管理软件厂商的构建系统（工厂流水线），在官方更新包里掺了后门，随后随正规渠道发给了上万家客户——包括多国政府机构和财富500强。**你没错，你信任的厂商也没错，但“奶粉”在出厂前就被掉包了。**这次事件让各国政府意识到：必须搞清楚软件从原料到出厂的每个环节，SBOM是第一步。 ### 2. 第二把火：Log4j漏洞（2021） 如果说SolarWinds只炸了一个厂商，Log4Shell就是炸了全世界。Log4j是Java世界最常用的日志组件（相当于软件的“行车记录仪”，负责记录运行日志），全球不知多少亿台设备在用。2021年12月漏洞公开后，攻击代码几小时内满天飞，而全球企业的第一反应是——**翻家底：我到底哪些系统用了Log4j？用了哪个版本？**由于没有SBOM，多数企业只能靠人肉排查、全网扫端口，花了数周甚至数月。事后各国报告都点名：如果有SBOM，响应时间能从“几周”压缩到“几小时”。这一战让SBOM从“最好有”变成“不能没有”。 ### 3. 第三把火：xz后门事件（2024） 2024年3月，谷歌工程师安德烈斯·弗雷德里克森（Andres Freund）在排查一台服务器0.5秒的性能异常时，揪出了一个潜伏在开源压缩组件xz里的精心伪装的后门，差点波及全球主流Linux系统（就是那个免费开源、全世界服务器都在用的操作系统）。这起事件暴露了新问题：开源世界的“公共厨房”也可能被人长期渗透。**软件供应链的信任，不能再靠“人熟”和“感觉”，得靠可核验的清单和记录。** ### 4. 第四把火：政府下场立规矩 翻车多了，监管来了，而且是全球连环： - **美国**：2021年5月，拜登签署第14028号行政令《改善国家网络安全》，明确要求向美国联邦政府出售软件的供应商提供SBOM；后续配套的联邦采购规则（OMB备忘录）持续加码，连随附的“自我声明表”都成了固定动作。 - **欧盟**：《网络弹性法案》（CRA，法规编号2024/2847）2024年12月正式生效，要求带数字元素的产品（从智能音箱到工业软件）在技术上“默认安全”，其中附件明确要求提供**机器可读的SBOM**。时间线是三部曲：2024年12月法案生效→**2026年9月11日漏洞报告义务先行生效**（刚过去四天）→2027年12月主要义务全面适用。业界称它是“软件界的CE认证”（CE是欧盟强制的产品安全标志）。 - **中国**：国家标准GB/T 43698-2024《网络安全技术 软件供应链安全要求》2024年落地，把软件供应链安全管理（含SBOM类要求）写进了国标；金融、能源等关键行业对开源组件的台账管理早已有明确监管要求。 - **日本**：经济产业省也已把SBOM纳入政府采购考虑，给了企业准备期。 一句话：**SBOM正在从“安全团队的自觉”变成“全球软件的入场券”。** ### 5. 第五把火（正在进行时）：AI时代的新配料表 最新趋势是SBOM思想向AI蔓延。一个大模型的“配料”比传统软件更复杂：训练数据、语料来源、基础模型、微调数据集、推理框架……业界正在推动**AIBOM（AI物料清单）/ ML-BOM**——给AI模型也列一张成分表，写清“本模型基于某某开源底座、用了哪些数据集、掺了哪些第三方组件”。Hugging Face（全球最大的AI模型社区）的模型卡（Model Cards）就是这种思路的雏形。欧盟AI法案也要求披露训练数据的概要信息。**配料表思维，正在从代码扩展到智能本身。** --- ## 三、一张图看懂——SBOM怎么救命 ```mermaid flowchart TD A[现代软件
组装了成百上千个组件] --> B[构建时自动扫描
生成SBOM配料表] B --> C[SBOM随软件一起
交付给客户和监管] C --> D[平时不显眼
像个静态档案] D --> E{某天深夜
突发史诗级漏洞} E --> F[有SBOM的企业
检索清单几分钟定位中招系统] E --> G[没SBOM的企业
人肉翻家底苦战数周] F --> H[精准打补丁
快速恢复业务] G --> H ``` 看懂这张图只需要记住一个对比：**漏洞爆发那晚，拼的不是谁的技术强，而是谁手里有那张清单。** --- ## 四、和我有什么关系？——三拨人各看一眼 ### 1. 普通人：你是“配料表”的最终受益者 你不用看懂SBOM，但它保护着你的生活：你手机银行APP收到漏洞补丁更快了，你买的智能摄像头、汽车车机被召回得更精准了。类比汽车行业：因为车企有完整的零件供应商清单，高田气囊出事才能全球召回几千万辆车。**软件业此前没有这个能力，现在正在补课。**下次买智能设备，可以多问一句：“你们的软件漏洞怎么披露的？”——会答的企业，通常更靠谱。 ### 2. 开发者：新技能，也是新饭碗 - **动手**：花一小时学一个SBOM生成工具（如开源的Syft、Trivy，或各语言生态自带的依赖分析插件），给你自己的项目生成第一张SBOM——这会写进越来越多公司的CI/CD流水线（自动化的软件生产流水线）检查项。 - **学习**：了解SPDX和CycloneDX两个格式的基本结构，读懂一张现成的SBOM。 - **机会**：“软件供应链安全”是近年安全行业增长最快的细分方向之一，从SBOM治理、开源合规到VEX（漏洞可利用性交换——通俗说就是在清单上标注“这个漏洞对我们其实无害”的配套格式），相关岗位在设备商、运营商、云厂商都在扩招。通信行业尤其相关：5G核心网大量使用云原生开源组件，运营商采购软件时正开始索要SBOM。 ### 3. 企业与投资者：合规成本与商业机会 - **做软件/硬件产品的公司**：想进欧盟市场，CRA的SBOM要求是硬门槛，2027年底大限将至，相关改造（组件清点、漏洞响应流程、供应链审计）现在启动已经不算早；国内政企采购同样在收紧。 - **采购方**：把“是否提供SBOM”写进招标要求，等于给供应商上了一道体检关。 - **投资者**：软件成分分析（SCA）工具、软件供应链安全平台是近年被资本持续关注的热点赛道，国外已跑出多家上市公司，国内同类厂商也在快速成长。 --- ## 五、一分钟总结 1. SBOM就是软件的配料表：把软件用了哪些别人的代码零件、什么版本、什么依赖关系，列成一张机器可读的清单。 2. 现代软件七成以上代码来自别人，零件出事你得先知道车上有这个零件——Log4j漏洞全球排查数周的混乱，就是没有清单的代价。 3. SolarWinds投毒、Log4j、xz后门三次大翻车，加上美国行政令、欧盟CRA、中国国标三地监管，把SBOM从冷门概念推成全球刚需。 4. 2026年9月11日欧盟CRA漏洞报告义务刚生效，2027年底主要义务全面适用——软件交“配料表”的时代正式开始。 5. 普通人受益于更快的补丁，开发者多一项新技能，企业多一道合规门槛——配料表思维，还正在向AI模型蔓延。 --- ## 延伸阅读 - **软件供应链安全**：SBOM所属的大领域，涵盖从代码开发到交付全链条的风险防控，下一篇可展开。 - **CVE漏洞编号**：安全圈的“通缉令编号”体系，SBOM排查漏洞时对照的就是它。 - **AIBOM / 模型卡**：给AI模型列配料表的新兴实践，SBOM思想的下一个战场。 --- ## 参考来源 1. [CISA官网SBOM专题页](https://www.cisa.gov/sbom) — 美国网络安全和基础设施安全局的SBOM权威资料与活动汇总。 2. [欧盟《网络弹性法案》官方文本（EUR-Lex，法规2024/2847）](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) — CRA原文，含机器可读SBOM要求与2026/2027分阶段时间表。 3. [维基百科：Software supply chain](https://en.wikipedia.org/wiki/Software_supply_chain) — 软件供应链与SBOM概念的中性综述。 4. [国家标准GB/T 43698-2024《网络安全技术 软件供应链安全要求》](https://openstd.samr.gov.cn/) — 全国标准信息公共服务平台可查询原文（检索标准号即可）。 > 注：文中个别企业内部响应周期为行业媒体综合报道的大致量级，非精确统计；CRA各阶段义务适用日期以欧盟官方公报为准。 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。