Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 03
Теоретический вопрос
Сравните три формата представления состава ПО — CycloneDX, SPDX и SWID — по их исходному назначению: CycloneDX вырос из задач безопасности и VEX, SPDX — из лицензионного обмена и появился как ISO/IEC 5962, SWID — это тег идентификации установленного ПО. Для каждого назовите, какую задачу он решает лучше других, и объясните, почему «формат» и «полнота данных» — разные оси: валидный по схеме CycloneDX может оставаться бесполезным фактом.
Практический вопрос
Мини-кейс В Организацию пришли два артефакта на один и тот же релиз: CycloneDX
bom.jsonот генератора фактов и SPDX-документ от соисполнителя. В CycloneDX богаче поля безопасности (VEX, occurrences), в SPDX — детальнее лицензии. Какой формат сделать каноническим для конвейера приёмки и почему? Что нужно проверить при конвертации, чтобы не потерять идентификаторы компонентов и отношения зависимостей?
| Ось сравнения | CycloneDX | SPDX | SWID |
|---|---|---|---|
| Первичная задача | безопасность, VEX | лицензии, обмен | идентификация установки |
| Стандарт | ECMA-424 | ISO/IEC 5962 | ISO/IEC 19770-2 |
| Сильная сторона | уязвимости, occurrences | лицензионная точность | инвентаризация ПО |
Что должен показать ответ
- Источник факта: схема формата (поля компонентов, отношения, лицензии) — не путать с полнотой содержимого.
- Инструмент: валидатор схемы CycloneDX/SPDX; контроль сохранности PURL и отношений при конвертации.
- Владелец решения: выбор канонического формата конвейера — за владельцем процесса приёмки, не за каждым исполнителем по-своему.
- Нормативная опора: CycloneDX ECMA-424, SPDX ISO IEC 5962.
- Evidence: чек-лист качества CycloneDX, чек-лист качества SPDX.