QT C++（QMake）项目SBOM生成工具及自动化方案咨询

可用工具推荐 #

1. CycloneDX 适配方案 #

CycloneDX本身不直接解析.pro文件，但可以通过qmake导出的依赖数据间接生成SBOM：

• 执行qmake -recursive -dump导出项目所有构建变量，从中提取LIBS、INCLUDEPATH里的依赖项；
• 针对Qt核心依赖，用qmake -query QT_VERSION获取整体版本，关联到QT +=声明的所有模块；
• 针对第三方系统库，用pkg-config --modversion <libname>或ldconfig -p | grep <libname>提取版本号；
• 把收集到的依赖信息整理成CycloneDX兼容的JSON/YAML格式，再用cyclonedx-cli merge合并到基础SBOM中。另外也可以替换编译工具为cyclonedx-gcc，在编译阶段自动捕获链接的库和版本信息。

2. Syft #

Syft可以直接扫描项目目录或编译产物，自动识别依赖：

• 先通过qmake生成Makefile，再用syft dir:. -o cyclonedx-json=sbom.json扫描源码目录，它能解析Makefile中的依赖规则；
• 如果是已编译的二进制，用syft file:<binary-path> -o spdx-json=sbom.json扫描，可识别链接的Qt库、系统库及其版本，适合无法完整构建的场景。

3. 自制解析脚本 #

写个轻量的Shell/Python脚本，直接解析.pro文件：

• 提取QT +=后的模块名，关联qmake -query QT_VERSION得到的Qt版本；
• 解析LIBS中的-l<lib>项，调用系统命令获取对应库的版本；
• 把这些信息输出为SBOM的基础结构（比如SPDX或CycloneDX格式），再用标准工具格式化。

自动化改进建议 #

1. 嵌入CI/CD流水线 #

在项目的CI/CD流程中添加SBOM生成步骤，示例GitHub Actions配置：

jobs:
  generate-sbom:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Install Qt
        run: sudo apt-get install qtbase5-dev
      - name: Generate Makefile
        run: qmake .
      - name: Generate SBOM Report
        run: syft dir:. -o cyclonedx-html=monthly-sbom-report.html
      - name: Upload Report
        uses: actions/upload-artifact@v4
        with:
          name: monthly-sbom-report
          path: monthly-sbom-report.html

配置定时触发（比如每月1号），就能自动生成并归档SBOM报告。

2. 固化依赖版本 #

维护一个dependencies.lock文件，手动或通过脚本写入固定的依赖版本：

• 执行qmake -query QT_VERSION > dependencies.lock记录Qt版本；
• 对第三方依赖，添加pkg-config --modversion <libname>的输出到文件中；
• 生成SBOM时优先读取这个文件的版本信息，避免因环境差异导致版本识别不一致。

3. 月度报告自动化整合 #

用脚本提取SBOM中的关键信息生成可读性强的月度报告：

• 统计依赖总数、Qt模块清单、第三方库版本；
• 对比上月SBOM，标记版本变更的依赖；
• 结合漏洞扫描工具（比如Grype），添加高风险依赖的告警信息；
• 把这些内容整理成Markdown或HTML格式，作为月度报告的核心部分。

内容的提问来源于stack exchange，提问作者Arthur