Yocto
create-spdx schreibt seine SBOM in einer von zwei Formen, und Declarable liest beide. Yocto 5.0 und früher schreiben ein komprimiertes Archiv mit einem Index und je einem SPDX-Dokument pro Rezept und pro Paket, die aufeinander verweisen: Für ein kleines Image sind das über hundert Dokumente, ohne eine einzelne Liste dessen, was im Image steckt. Ab Yocto 5.1 schreibt es ein einziges SPDX-3-JSON-Dokument für das Image.
Die Schwachstellenverfolgung bei Yocto verwendet eigene Produktnamen (CVE_PRODUCT), und sie stimmen nicht immer mit den Rezeptnamen in der SBOM überein. Ein Rezept mit dem einen Namen kann unter einem anderen verfolgt werden, sodass ein einfacher Abgleich es verfehlt.
Eine ist die Liste, die Ihr Build schreibt. Dateien werden in Ihrem Browser gelesen.
Fügen Sie dies zu conf/local.conf hinzu, bauen Sie das Image und nehmen Sie das Archiv aus dem Deploy-Ordner:
INHERIT += "create-spdx"
bitbake core-image-minimal
ls tmp/deploy/images/*/*.spdx.tar.zst<image>.rootfs.spdx.tar.zst (Yocto 5.0 and earlier) — das ganze Archiv aus Ihrem Deploy-Ordner; Declarable entpackt es in Ihrem Browser<image>.rootfs.spdx.json (Yocto 5.1 and later) — das eine SPDX-3-JSON-Dokument, das create-spdx statt eines Archivs schreibt; laden Sie es unverändert hochlicense.manifest (optional) — Gegenprobe dessen, was wirklich im Image istthe cve-check JSON report (optional) — die eigene Liste von Yocto: welche CVEs es geprüft hat und was es zu jeder entschieden hatrecipe or local.conf files with CVE_STATUS lines (optional) — wo Sie oder eine Layer eine CVE als behoben, ignoriert oder für Sie nicht zutreffend markiert habenAngaben auf dieser Seite geprüft am 14. Oktober 2026.
Declarable bereitet Unterlagen vor, die Sie prüfen sollen. Das ist keine Rechtsberatung und keine Zertifizierung. Ihre Konformitätserklärung unterschreiben Sie selbst.