SPDX y CycloneDX, dos formatos leídos campo a campo

SPDX nació en la Linux Foundation para describir paquetes y licencias, y su versión 2.2.1 es la norma internacional ISO/IEC 5962:2021. CycloneDX nació en OWASP con un enfoque de seguridad de la cadena de suministro y es un estándar de Ecma International (ECMA-424). Ninguno de los dos es «el bueno»: un analista recibe lo que su proveedor genera y tiene que saber leer ambos.

Ambos se suelen entregar como JSON. En el escritorio tienes los dos archivos en la carpeta sbom.

En SPDX cada paquete tiene un SPDXID que sirve para referirse a él desde las relaciones. En el JSON está dentro de la lista packages. En CycloneDX el equivalente es el bom-ref de cada elemento de components.

Abre planificador.spdx.json y busca el paquete piloto-sql.

Dos documentos del mismo producto pueden no coincidir. A veces una herramienta lee el archivo de bloqueo y otra analiza la imagen final, y lo que ven no es igual. Compara las listas de packages (SPDX) y components (CycloneDX) de las dos fuentes.

Que falte un componente en uno de los dos documentos no demuestra que no esté en el producto. Lo que demuestra es que al menos un documento es incompleto, o que cada uno tiene otro alcance. Mientras no se aclare, el componente se trata como presente.

También conviene saber dónde mira cada formato las relaciones: SPDX las lista en relationships con el tipo DEPENDS_ON, y CycloneDX en dependencies con ref y dependsOn.