[发明专利]一种软件物料清单的生成方法、装置和计算机可读介质

说明书

本申请公开一种软件物料清单的生成方法、装置和计算机可读介质，通过不同的途径提取依赖信息，并且提取多个层级的依赖信息。多个途径中的第一个途径为：依据第一有效信息在组件信息库中进行组件匹配，然后提取成功匹配到的第二有效信息作为第一依赖信息；第二个途径为：依据第二二进制组件文件与第一二进制组件文件进行同源分析，得到满足预设层级标准的第二依赖信息；第三个途径为：从配置文件中提取得到第三依赖信息；最后依据得到的前三个依赖信息生成第四依赖信息，并根据第四依赖信息生成软件物料清单，本申请通过不同途径提取依赖信息并且能够提取到不同深度的依赖信息，从而得到完整准确的软件物料清单。

技术领域

本申请属于互联网技术领域，尤其涉及一种软件物料清单的生成方法、装置和计算机可读介质。

背景技术

软件物料清单（Software Bill of Materials，SBOM）是软件使用的所有组件、开源许可证和依赖信息的完整列表，可以类比为我们在日常生活中购买的食品外包装上的配料清单。软件物料清单的存在有诸多好处，比如：当发现一个组件有漏洞的时候，有软件物料清单可以很快了解哪些软件受到了影响，并且能够根据漏洞的等级确定修复漏洞任务的优先级，减少花在排查和审核上的时间；在一些组件出于可靠性、性能、安全、公司的策略等原因不能继续使用的情况下，可以通过检查软件的物料清单就能确定软件有无这些不能使用的组件；软件物料清单可以帮助开发人员或者管理人员掌握软件间的依赖关系，比如开源组件和公司内部组件，一方面，可以了解软件的可维护性，另一方面，便于后续做代码重构等工作。

现有的软件物料清单生成方法，大多采用手工生成方法，从源码、配置文件、生成交付物等处提取所需信息后按需生成对应格式的软件物料清单，这种方法不仅消耗人力，而且容易出现拼写错误、遗漏等问题，生成软件物料清单的效率低且软件物料清单不够完整，致使软件物料清单在后续使用的过程中的上述好处以及其他作用都大打折扣。

发明内容

有鉴于此，本申请提供一种软件物料清单的生成方法、装置和计算机可读介质，以用于解决在已知技术中手工生成软件物料清单的过程中出现的拼写错误、生成的软件物料清单不完整以及生成效率低的问题。

为解决上述问题，本申请提供如下方案：

一种软件物料清单的生成方法，包括：

获取目标软件对象的源代码和配置文件；

层级扫描所述源代码，确定所述目标软件对象的第一有效信息；

依据所述第一有效信息在组件信息库中进行组件匹配，所述组件信息库中至少包括第二有效信息和第一二进制组件文件对应的特征向量；

提取成功匹配到的所述第二有效信息作为第一依赖信息；

将所述源代码进行编译处理得到第二二进制组件文件，依据所述第二二进制组件文件与所述第一二进制组件文件进行同源分析，得到满足预设层级标准的第二依赖信息；

从所述配置文件中提取得到第三依赖信息，所述第三依赖信息为所述目标软件对象对应的更新补充信息；

依据所述第一依赖信息、所述第二依赖信息、所述第三依赖信息生成第四依赖信息，并根据所述第四依赖信息生成软件物料清单。

可选的，还包括：

在满足所述目标软件对象更新条件的情况下，循环上述步骤生成新的软件物料清单。

可选的，所述目标软件对象的更新条件为所述目标软件对象的源代码发生变化、所述目标软件对象进行编译构建。

可选的，在依据所述第一有效信息在组件信息库中进行组件匹配之前，还包括:

采集开源组件的源代码、第三二进制组件文件；

从所述源代码中提取得到所述第二有效信息；