如何在SBOM中纳入静态.dll文件？.NET/WPF应用SBOM生成问题

针对你遇到的Microsoft sbom-tool无法识别本地编译DLL的问题，以下是具体的解决思路：

一、如何将本地DLL纳入SBOM #

目前sbom-tool主要聚焦于NuGet包这类已注册的依赖源，对本地散列的DLL支持有限。你可以通过两种方式处理：

1. 借助支持本地二进制扫描的工具生成包含DLL的SBOM，再与sbom-tool生成的结果合并
2. 手动编辑已生成的SBOM文件，补充本地DLL的相关信息

二、可自动识别本地DLL的工具 #

有不少工具能扫描本地.NET程序集并提取元数据，生成符合标准的SBOM：

• CycloneDX CLI：专门支持SBOM生成，能直接扫描本地DLL文件，提取程序集名称、版本、哈希、作者等信息，生成CycloneDX格式的SBOM，还能和sbom-tool的SBOM合并。
• OWASP Dependency-Check：虽然主打漏洞扫描，但也能识别本地DLL的依赖信息，导出SPDX或CycloneDX格式的SBOM结果。
• dotnet list package --include-transitive：如果本地DLL是通过项目引用或本地NuGet包引入的，用这个命令可以列出所有依赖（包括本地程序集），再将输出的信息映射到SBOM格式中。

三、手动添加本地DLL到SBOM需要的信息 #

如果选择手动编辑，需按照SBOM标准（比如SPDX或CycloneDX）补充以下核心字段：

• 基础标识：
  • 组件名称：从DLL的程序集信息（AssemblyName）获取
  • 版本号：程序集版本（AssemblyVersion）或文件版本（FileVersion）
  • 组件类型：标记为library
• 唯一标识与校验：
  • 唯一ID：比如SPDX中的SPDX-Package-ID，或CycloneDX中的bom-ref，确保全局唯一
  • 文件哈希：至少提供SHA-256值，可通过PowerShell命令Get-FileHash -Path "你的DLL路径" -Algorithm SHA256获取
• 元数据：
  • 供应商/作者：程序集信息中的Company字段
  • 版权声明：程序集信息中的Copyright字段
  • 许可证：如果DLL有明确许可证（如MIT、Apache 2.0）则填写，无明确声明时标注NOASSERTION
• 来源与依赖：
  • 来源说明：标注DLL的本地路径或来源描述（如“项目本地自定义编译组件”）
  • 依赖关系：如果该DLL依赖其他组件，需关联对应组件的唯一ID

内容的提问来源于stack exchange，提问作者Katie Dudenas