如何从CycloneDX SBOM定位json5组件实际引用文件？Evidence模式可行吗？

怎么确定json5实际被引用的文件 #

你当前拿到的SBOM只记录了json5是通过分析package-lock.json发现的，这仅能说明它属于项目依赖的一部分，但没法直接从这份SBOM里找到它被具体哪些文件引用。要定位引用文件，得做额外分析：

• 扫描源码：用代码扫描工具（比如专门找依赖引用的插件、或自己写简单脚本）遍历项目源码和依赖文件，查找require('json5')或import json5 from 'json5'这类语句，就能定位到具体文件路径。
• 使用npm命令：在项目根目录执行npm explain json5，它会输出整个依赖树里json5被引入的路径，包括哪些包或业务文件间接用到了它。

CycloneDX的evidence模式能不能实现组件到引用文件的映射 #

不行，当前的evidence.identity字段仅用于记录组件被发现的方式和来源文件（比如这里的package-lock.json），并不负责追踪组件的实际引用位置。要实现映射，得通过扩展SBOM来完成：

• 添加自定义属性：在properties里新增一个自定义字段（比如ReferencedInFiles），把扫描得到的引用文件路径填进去，示例：

  "properties": [
    {
      "name": "SrcFile",
      "value": "/path/gui/nodegui/package-lock.json"
    },
    {
      "name": "ReferencedInFiles",
      "value": "/path/gui/nodegui/src/config-parser.js,/path/gui/nodegui/node_modules/some-package/index.js"
    }
  ]
  

• 使用自定义扩展字段：CycloneDX允许添加x-前缀的自定义字段，你可以在组件节点里加x-referenced-files，用数组存储所有引用文件路径，结构更清晰。
• 注意：CycloneDX核心规范里没有专门字段直接实现组件到引用文件的映射，必须依靠自定义扩展来完成。

内容的提问来源于stack exchange，提问作者NSP