Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
SPDX
Для чего
SPDX (Software Package Data Exchange) — формат описания состава ПО с историческим фокусом на лицензировании и происхождении. Стандартизован как ISO/IEC 5962. Его сильная сторона — строго каталогизированные лицензии: каждая выражается идентификатором из SPDX License List (Apache-2.0, GPL-2.0-only) и комбинируется через SPDX License Expressions. Под BSI TR-03183-2 v2.1.0 SBOM принимается в SPDX версии ≥ 3.0.1.
Как применяют
SPDX существует в двух сериализациях. Исторический tag-value:
SPDXVersion: SPDX-2.3
PackageName: openssl
PackageVersion: 3.0.13
PackageLicenseConcluded: Apache-2.0
ExternalRef: PACKAGE-MANAGER purl pkg:conan/openssl@3.0.13
и JSON (в т. ч. для 3.0). Идентификаторы компонента кладутся в externalRefs: purl как PACKAGE-MANAGER purl, CPE как SECURITY cpe23Type. Важно: модель 3.0 — несовместимый разрыв с линейкой 2.x (новая графовая модель элементов и отношений), поэтому потребитель должен понимать, какую мажорную версию он читает.
Сильные стороны
- Лицензии формализованы списком SPDX License List и выражениями (
(MIT OR Apache-2.0)) — основа юридического заключения (П27. Юридическое заключение и реестр лицензий). - Статус ISO/IEC 5962 — вес в регуляторике и при межведомственном обмене.
relationshipsописывают происхождение и связи (CONTAINS,GENERATED_FROM) детально.
Ограничения
- Модель 3.0 ломает совместимость с 2.x — инструменты и парсеры догоняют спецификацию неравномерно.
- Встроенный VEX исторически слабее, чем в CycloneDX; для VEX-сценариев чаще берут OpenVEX/CSAF.
- Tag-value многословен и менее удобен для машинной обработки, чем JSON.
Offline / on-premise
Формат самодостаточен: SPDX License List и схемы поставляются как данные и разворачиваются локально, валидация лицензионных идентификаторов и структуры идёт без сети. Это делает SPDX удобным для закрытого юридического workflow.
Связанные темы
М03 Форматы SBOM · М07 Лицензионная чистота Практики: П02. Чтение CycloneDX JSON руками · П27. Юридическое заключение и реестр лицензий · П34. SBOM quality gate Смежные карточки: CycloneDX · SWID · Package URL · CPE · ScanCode Toolkit