CycloneDX SBOM工具及JSON转CSV方法

处理CycloneDX SBOM文件的工具选择很多，核心工具是 CycloneDX CLI，它可以直接将JSON格式的SBOM转换为CSV。

为了方便你快速选择，我将主要的工具分类整理如下：

工具类别	工具名称	主要功能	是否支持 JSON 转 CSV	主要特点
官方核心CLI工具	CycloneDX CLI	SBOM分析、格式转换、合并、差异比较、签名/验证	支持	官方出品，功能全面，专为自动化流程设计
SBOM生成器	cdxgen (<code>@cyclonedx/cdxgen</code>)	为多种编程语言和容器镜像生成 CycloneDX SBOM	不支持（核心是生成）	支持语言/平台极广，可深度分析项目依赖
商业/在线平台	OpenText Core SCA、CodeScoring	依赖项扫描、漏洞分析、SBOM生成与导出	部分支持（如CodeScoring可导出CSV报告）	提供可视化界面和一站式安全分析
集成化工具集	sbom-utilities-pipe (Docker镜像)	集成漏洞扫描、SBOM质量评分等多种分析工具	不确定（集成了多种工具）	开箱即用，适合集成到CI/CD流水线中

使用 CycloneDX CLI 转换格式非常简单，其 <code>convert</code> 命令支持在多种格式间互转。

基本转换命令：

cyclonedx convert --input-file sbom.json --output-file sbom.csv --input-format json --output-format csv

使用管道 (Pipe)：
你也可以利用其支持标准输入/输出的特性，通过管道组合命令：

cat sbom.json | cyclonedx convert --input-format json --output-format csv &gt; sbom.csv

关于CSV格式的说明：
需要注意的是，CSV是SBOM的简化表示，主要包含组件列表。通常，<code>name</code>（名称）和 <code>version</code>（版本）是必填字段，其他字段可以为空或省略。

除了格式转换，你可能还有其他需求，以下工具可供参考：

生成SBOM：除了表格中的<code>cdxgen</code>，各语言生态也有专用工具，例如C++的<code>cyclonedx-conan</code>。
分析、合并、验证SBOM：CycloneDX CLI 的 <code>analyze</code>（分析）、<code>merge</code>（合并）、<code>validate</code>（验证）命令可以满足这些需求。
扫描SBOM中的漏洞：可以尝试 <code>sbom-utilities-pipe</code> 镜像中集成的 bomber、grype、osv-scanner 等工具。

Comments