CycloneDX vs SPDX

Det korte svar

Brug det format, dine kunder, myndigheder eller værktøjer beder om. Hvis ingen beder om noget, er CycloneDX det mest almindelige valg til sikkerhedsarbejde, fordi det har VEX indbygget, og SPDX det mest almindelige valg, hvor licensoverholdelse er det vigtigste. De fleste generatorer, også CRACI, kan producere begge.

Side om side

CycloneDX

CycloneDX udvikles af OWASP Foundation og er standardiseret af Ecma International som ECMA-424. Version 1.7 udkom i oktober 2025. Det startede med sikkerhed og forsyningskæderisiko og dækker mere end software: SBOM'er, SaaSBOM'er til services og HBOM'er til hardware. Det understøtter VEX, så det samme format kan sige, om en sårbarhed berører et produkt. Det serialiseres som JSON, XML eller Protocol Buffers.

SPDX

SPDX er et open source-projekt hostet af Linux Foundation og anerkendt som den internationale standard ISO/IEC 5962:2021. Det startede med licensoverholdelse, og dets licensidentifikatorer bruges langt ud over SBOM'er. SPDX 3.0, der udkom i april 2024, tilføjede profiler for sikkerhed, build, datasæt og AI.

Se: grundlæggende om SBOM'er

Fra vores oplæg på KCD Helsinki: hvad en SBOM registrerer, hvordan SPDX og CycloneDX adskiller sig i praksis, og hvad OpenVEX tilføjer.

5:15

Hvad myndighederne accepterer

EU's Cyber Resilience Act kræver en SBOM i "et almindeligt anvendt og maskinlæsbart format" og nævner ikke noget bestemt. Tysklands BSI TR-03183-2, version 2.1.0, er mere specifik: CycloneDX 1.6 eller nyere eller SPDX 3.0.1 eller nyere, i JSON eller XML. Se CRA's SBOM-krav.

Formatet betyder mindre end indholdet

Begge formater kan rumme en ufuldstændig SBOM. Det afgørende for, om en SBOM er nyttig, er, om den angiver alt, der gik ind i produktet, inklusive transitive afhængigheder. CRACI registrerer SBOM'en, mens dit GitHub Actions-build kører, angiver dens fuldstændighed pr. job og pr. cache og eksporterer den i CycloneDX eller SPDX. Se SBOM-generering under buildet.

CycloneDX vs SPDX: ofte stillede spørgsmål

Er CycloneDX eller SPDX bedst?

Ingen af dem er generelt bedst. CycloneDX voksede ud af sikkerhedsarbejde og har VEX indbygget; SPDX voksede ud af licensoverholdelse og er en ISO-standard. De fleste værktøjer kan producere begge. Vælg det format, dine kunder, myndigheder eller værktøjer beder om.

Hvilket SBOM-format kræver EU's Cyber Resilience Act?

CRA kræver et almindeligt anvendt og maskinlæsbart format og nævner ikke noget bestemt. Tysklands BSI TR-03183-2 accepterer CycloneDX 1.6 eller nyere og SPDX 3.0.1 eller nyere, i JSON eller XML.

Kan jeg konvertere mellem CycloneDX og SPDX?

Der findes værktøjer, der konverterer begge veje, men formaterne passer ikke én til én, så der kan gå detaljer tabt ved en konvertering. Generér om muligt det format, du har brug for, direkte.

Eksporterer CRACI CycloneDX eller SPDX?

Begge dele. CRACI registrerer SBOM'en, mens dit GitHub Actions-build kører, og eksporterer den i CycloneDX eller SPDX, inklusive transitive afhængigheder og hver komponents deklarerede licens.