合规
建立 SBOM 生成与审查流程
每个受治理的软件发行都有机器可读、可归责的组件清单，可支持漏洞与供应链决策。
流程
按这个顺序做。
- 界定覆盖产品、发布阶段、消费者、批准的 SBOM 格式、最低字段、命名、留存与访问规则。
- 选择能反映实际交付物的生成点，如已解析的构建依赖、容器镜像和打包二进制，而不只是清单文件。
- 在 CI 中用固定、可信的工具生成 SBOM，并尽可能捕获产品、组件、版本、供应商、关系、标识、时间戳和作者元数据。
- 校验语法、必填字段、组件关系、重复处理，以及 SBOM 与发布产物的对应关系。
- 将 SBOM 签名或绑定到产物身份，存入批准仓库，并用版本化访问控制发布给授权消费者。
- 结合漏洞情报与可达性或部署上下文，用 SBOM 数据开单、排序并跟踪整改。
- 监控流水线健康；在产物变更、发现错误或最低要素要求演变时重新生成或修订 SBOM。
先准备
猫会向你要的输入。
- 覆盖产品与发布产物
- 构建流水线访问权限
- 所需 SBOM 格式与字段
- 分发与留存策略
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/generating-and-analyzing-sboms/SKILL.mdskills/cybersecurity-skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md
界限
界限跟着提示一起走。
- 仅在授权构建环境中运行，并按策略保护专有组件信息。
- 当不透明二进制、动态依赖或供应商数据缺失造成已知缺口时，不要声称完整。
- SBOM 是清单输入，不是组件安全或可被利用的证明。
完成代表
一个可核对的终点。
发布门禁验证证明每个覆盖产物都有可解析、字段齐全、绑定正确产物、已存储且对批准消费者可访问的 SBOM。
来源
这个流程从哪来。
- www.cisa.gov/topics/information-communications-technology-supply-chain-security/sbom
- csrc.nist.gov/pubs/sp/800/218/final
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
