@deepwhale-cn/dsh-sbom
你的产物里到底有谁，清单说了算
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add github:feely0208/dsh-sbom#ac6f361f443993a9bc4401cc350e4cfef4b55ec1Sbom 以 @deepwhale-cn/dsh-sbom 发布，当前版本为 0.1.0。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
你的产物里到底有谁，清单说了算。
关键词：软件物料清单 · SBOM · 供应链安全 · CycloneDX · SPDX · 依赖透明 · 行政令 14028 · NTIA 最低要素
是：检查一个项目的 SBOM —— 有没有、全不全、新不新、格式对不对。
有 lockfile 却一份清单都没有、清单是个空壳、文件名叫 bom.json 却不是标准格式、
清单一整年没更新、组件没有 purl 唯一标识 —— 这些它都会指出来。
不是：
dsh-dep-audit 的活一句话分界：别的工具负责写清单，它负责查清单。
dsh-dep-audit = 查【依赖树】里的漏洞与许可证
dsh-sbom = 查【物料清单】本身有没有、全不全、新不新
| 规则 | 查什么 | 级别 |
|---|---|---|
SBOM-NO-LIST | 有 lockfile，却找不到任何 SBOM 文件（absence） | 🔴 |
SBOM-EMPTY-SHELL | SBOM 在，但里面没有任何组件条目 —— 空壳 | 🔴 |
SBOM-NOT-STANDARD | 没有 bomFormat / spdxVersion，下游工具没法消费 | 🔴 |
SBOM-STALE | SBOM 超过 180 天没更新 | 🟡 |
SBOM-NO-IDENTIFIER | 组件只有名字和版本，没有 purl / CPE | 🔵 |
每条都会给出：哪个文件、什么证据、依据是什么、怎么办。
sbom.json · bom.json · *.cdx.json · *.spdx.json · *.sbom.json · cyclonedx.json ·
bom.xml · sbom.xml · *.cdx.xml · *.spdx（可放在任意子目录）
CycloneDX（JSON / XML）· SPDX（JSON / tag-value）
dsh plugin --profile web add @deepwhale-cn/dsh-sbom
# 检查当前项目
dsh-sbom
# 检查指定目录
dsh-sbom --root /path/to/project
# 看内置演示（一个「有 lockfile、清单却各种残缺」的样本项目）
dsh-sbom --demo
# 列出判据与出处
dsh-sbom --list-rules
# 出 HTML 报告（可截图存档）
dsh-sbom --root /path/to/project --html sbom.html
# 给 CI 用：有 high 命中时退出码 1
dsh-sbom --root . --quiet
--demo 那个样本项目，看起来挺正常：有 package.json、有 package-lock.json、有 CI，
npm run sbom 脚本也在。仓库里甚至有四份「清单」：
sbom.json 导出脚本生成的，但 components 是空的
bom.json 其实是 npm ls --json 导出后改的名
security/bom.xml 内部库存系统导出的 XML，不是 CycloneDX
docs/deps.cdx.json 一年多前导出的老清单，组件没有 purl
工具会把它们一条条拎出来：
🔴 SBOM 文件里没有组件条目 —— 清单是个空壳 sbom.json / bom.json / security/bom.xml
🔴 SBOM 文件不是标准格式 —— 没有格式标识 bom.json / security/bom.xml
🟡 SBOM 文件超过 180 天没更新 docs/deps.cdx.json（949 天）
🔵 SBOM 里的组件没有唯一标识（purl / CPE） docs/deps.cdx.json / sbom.json / …
而「有 lockfile 却一份清单都没有」这种项目（tests/fixtures/absent/minimal）会报：
🔴 有依赖清单却没有物料清单 —— 项目里找不到任何 SBOM 文件
「有清单」和「有一份能用的清单」是两件事，这个工具查的就是后者。
dist/ build/ node_modules/ 等目录默认跳过，清单若只存在于
这些目录，会被报成「找不到」；如果清单放在别处且命名不同，也可能漏认SBOM-STALE 可能不报或误报bash tests/run.sh # 双向验证：正例全报 + 反例 0 命中
SBOM-STALE看的是文件修改时间，而 git 不保存 mtime。如果docs/deps.cdx.json的修改时间被重置（重新 checkout、拷贝目录），这条判据在正例上就报不出来 ——tests/run.sh会自动回拨，手动修复用：touch -t 202403110820 tests/fixtures/fail/demo-project/docs/deps.cdx.json
样本目录（同时是 --demo 的数据源，没有第二套）：
tests/fixtures/fail/demo-project/ 正例：清单空壳 / 非标准格式 / 过期 / 无标识
tests/fixtures/absent/minimal/ 正例·absence：有 lockfile、没有任何 SBOM
tests/fixtures/pass/clean-project/ 反例：CycloneDX JSON+XML、SPDX JSON 三种格式都合规
MIT © 深鲸 DeepWhale