软件学报

作者：孙泽雨，吴敬征，凌祥，魏怡琳，罗天悦，武延军

单位：孙泽雨，中国科学院 软件研究所 智能软件研究中心, 北京 100190;国科大杭州高等研究院 智能科学与技术学院, 浙江 杭州 310024;中国科学院大学, 北京 10004911,吴敬征，中国科学院 软件研究所 智能软件研究中心, 北京 100190;基础软件与系统重点实验室(中国科学院 软件研究所), 北京 100190;计算机科学国家重点实验室(中国科学院 软件研究所), 北京 10019002,凌祥，中国科学院 软件研究所 智能软件研究中心, 北京 100190;基础软件与系统重点实验室(中国科学院 软件研究所), 北京 100190;计算机科学国家重点实验室(中国科学院 软件研究所), 北京 10019003,魏怡琳，中国科学院 软件研究所 智能软件研究中心, 北京 10019004,罗天悦，中国科学院 软件研究所 智能软件研究中心, 北京 10019005,武延军，中国科学院 软件研究所 智能软件研究中心, 北京 100190;基础软件与系统重点实验室(中国科学院 软件研究所), 北京 100190;计算机科学国家重点实验室(中国科学院 软件研究所), 北京 10019006

关键词：软件供应链;开源软件;软件成分;SBOM

基金：国家自然科学基金(62202457); 中国科学院战略性先导科技专项(XDA0320401); 2023年开源社区软件物料清单SBOM平台项目(E3GX310201)

供应链级别的开源软件及组件复用是当前软件开发的主流模式. 该模式避免了重复开发, 降低了研发成本, 提高了开发效率, 但是也不可避免地存在组件的来源未知, 成分不清, 漏洞不明, 许可证违规等问题. 为解决上述问题, 研究人员提出了软件物料清单(software bill of material, SBOM). SBOM详细列出了构成软件的组件及组件之间的关系, 揭示了潜在的和已知的威胁, 使软件透明化. 自提出以来, 国内外研究人员针对SBOM的研究主要聚焦在SBOM的现状、应用和工具上, 缺少理论化、体系化的研究. 综述SBOM的背景、基本概念、生成技术、工具及性能分析、应用、挑战与趋势, 并提出融合细粒度安全漏洞感知, 许可证冲突检测的SBOM+, 以期从概念、技术、工具、应用和发展等方面为SBOM、软件开发、供应链安全等研究人员提供支撑.

来源：2025年第6期

《软件学报》期刊编辑部

查看软件学报杂志2025年第6期