CycloneDX CLI 镜像文档

镜像概述

CycloneDX CLI是基于CycloneDX轻量级SBOM（软件物料清单）标准的命令行工具镜像，提供对SBOM文件的全面处理能力。该镜像封装了CycloneDX CLI的核心功能，可直接通过Docker容器快速部署和使用，无需本地环境配置，适用于各类SBOM文件的生命周期管理。

核心功能与特性

• SBOM查看：支持直接查看JSON、XML等格式的SBOM文件内容，提供结构化输出
• 格式转换：实现不同SBOM格式间的相互转换（如JSON与XML格式互转）
• 合规验证：验证SBOM文件是否符合CycloneDX规范及指定版本要求
• 高级操作：支持合并多个SBOM文件、生成SBOM摘要信息、提取依赖项等扩展功能
• 多版本兼容：兼容主流CycloneDX schema版本，确保对不同时期SBOM文件的处理能力

使用场景与适用范围

适用场景

• 开发流程集成：在CI/CD管道中自动化处理SBOM生成、转换与验证
• 安全审计：协助安全团队分析软件依赖组件，识别潜在漏洞风险
• 合规管理：确保SBOM文件符合组织内部或行业监管的格式与内容标准
• 本地开发：开发者在本地环境快速处理SBOM文件，验证项目依赖清单

适用人群

• 软件开发工程师
• DevOps工程师
• 安全审计人员
• 合规管理人员

使用方法与配置说明

基础使用命令

容器化部署时需通过-v参数挂载本地目录，使容器可访问SBOM文件。基础命令格式如下：

bash
docker run --rm -v [本地SBOM目录]:/sbom cyclonedx/cyclonedx-cli [命令] [选项]

常用命令示例

1. 查看SBOM文件

查看指定路径的SBOM文件内容：

bash
docker run --rm -v $(pwd)/sbom_files:/sbom cyclonedx/cyclonedx-cli show /sbom/project-sbom.json

2. SBOM格式转换

将JSON格式SBOM转换为XML格式：

bash
docker run --rm -v $(pwd)/sbom_files:/sbom cyclonedx/cyclonedx-cli convert \
  -i /sbom/input.json \
  -o /sbom/output.xml \
  -f xml

3. SBOM合规验证

验证SBOM文件是否符合CycloneDX 1.4版本规范：

bash
docker run --rm -v $(pwd)/sbom_files:/sbom cyclonedx/cyclonedx-cli validate \
  -i /sbom/project-sbom.json \
  -s 1.4

4. 合并多个SBOM

合并两个SBOM文件并输出为JSON格式：

bash
docker run --rm -v $(pwd)/sbom_files:/sbom cyclonedx/cyclonedx-cli merge \
  -i /sbom/base-sbom.json /sbom/additional-sbom.json \
  -o /sbom/merged-sbom.json \
  -f json

核心命令参数说明

注意事项

• 容器需通过-v参数挂载本地目录以访问SBOM文件，挂载路径格式为[本地目录]:[容器内目录]
• 建议使用最新版本镜像（cyclonedx/cyclonedx-cli:latest）以获取完整功能支持
• 完整命令列表及参数说明可通过--help查看：docker run --rm cyclonedx/cyclonedx-cli --help