求推荐符合NTIA最小SBOM要求的多语言项目工具及SBOM转档工具

一、多语言SBOM生成工具（覆盖Java/Python/iOS Swift/Android Kotlin） #

Java项目 #

• CycloneDX Maven插件：可生成带供应商信息的SPDX/CycloneDX格式SBOM，能在pom.xml配置中指定供应商，自动解析依赖树，完整输出依赖关系、作者及时间戳。执行命令：mvn cyclonedx:makeAggregateBom
• OWASP Dependency-Check：除漏洞扫描外，还能导出含供应商信息的SPDX格式SBOM，所有NTIA要求的要素全覆盖，直接从Maven仓库拉取供应商数据。

Python项目 #

• CycloneDX Python插件：通过cyclonedx-py命令，从requirements.txt或pyproject.toml解析依赖，自动填充PyPI上的供应商信息，支持SPDX/CycloneDX格式，依赖关系、作者、时间戳全包含。示例命令：cyclonedx-py -r requirements.txt -o sbom.json
• pip-audit：主打依赖审计，但生成的SBOM自带供应商信息，依赖关系清晰，导出的JSON格式完全满足NTIA最小要求。

iOS(Swift)项目 #

• Swift Package Manager + CycloneDX Swift插件：专门适配SPM管理的Swift项目，从Swift Package Index抓取供应商信息，生成包含所有NTIA要素的SBOM。执行命令：swift package cyclonedx generate
• CocoaPods CycloneDX插件：针对用CocoaPods的iOS项目，解析Podfile.lock提取依赖，自动补充供应商信息，生成合规SBOM。执行命令：pod cyclonedx generate

Android(Kotlin)项目 #

• CycloneDX Gradle插件：适配Gradle构建的Kotlin/Android项目，解析build.gradle中的依赖，从Maven Central/JCenter拉取供应商数据，生成含依赖关系、作者、时间戳的SBOM。执行命令：./gradlew cyclonedxAggregate
• OWASP Dependency-Check Gradle插件：兼顾漏洞扫描和SBOM生成，输出的SBOM覆盖所有NTIA要求要素。

二、JSON格式SBOM转Word/PDF工具 #

• 自定义Python脚本：用python-docx库生成Word文档，reportlab或wkhtmltopdf转PDF。读取SBOM的JSON数据，把供应商、组件名称、版本等NTIA要素整理成结构化表格，直接输出成Word后再转PDF。
• Pandoc：先把JSON SBOM转成Markdown（用jq工具处理：jq -r '[.components[] | "- **供应商**: \(.supplier) **组件名称**: \(.name) **版本**: \(.version)"] | join("\n")' sbom.json > sbom.md），再执行pandoc sbom.md -o sbom.docx生成Word，或pandoc sbom.md -o sbom.pdf生成PDF。
• CycloneDX CLI：官方CLI可把JSON SBOM转成HTML，之后用浏览器打印功能转PDF，也可以把HTML转成Markdown再用Pandoc生成Word。

内容的提问来源于stack exchange，提问作者bostonjava