Spring Boot Actuator SBOM 端点详解 📦

什么是 SBOM？为什么我们需要它？

NOTE

SBOM（Software Bill of Materials）是软件物料清单，它记录了应用程序中使用的所有组件、依赖项和第三方库的详细信息。

想象一下，你在制作一道复杂的菜品，你需要知道用了哪些食材、调料，以及它们的来源和质量。同样，在软件开发中，我们也需要清楚地知道应用程序"由什么组成"。

🤔 没有 SBOM 会遇到什么问题？

在传统的软件开发中，我们经常面临这些困扰：

安全漏洞难以追踪：当某个依赖库出现安全漏洞时，不知道自己的应用是否受影响
许可证合规性问题：不清楚使用了哪些开源库，可能违反许可证要求
依赖关系混乱：无法快速了解应用的完整依赖树
供应链安全风险：无法识别潜在的恶意组件

IMPORTANT

SBOM 就像是软件的"身份证"，它提供了应用程序组件的完整透明度，这在现代软件供应链安全中至关重要。

Spring Boot Actuator SBOM 端点

Spring Boot Actuator 的 sbom 端点为我们提供了一个标准化的方式来获取应用程序的软件物料清单。

核心功能架构

实际应用场景

1. 获取可用的 SBOM 列表

首先，我们需要了解应用程序中有哪些可用的 SBOM：

curl 请求Kotlin 客户端示例

bash

curl 'http://localhost:8080/actuator/sbom' -i -X GET

kotlin

@RestController
class SecurityController {
    
    @Autowired
    private lateinit var restTemplate: RestTemplate
    
    /**
     * 获取应用程序的所有可用SBOM列表
     * 用于安全审计和合规性检查
     */
    @GetMapping("/security/sbom-list")
    fun getAvailableSboms(): ResponseEntity<SbomListResponse> {
        val response = restTemplate.getForEntity(
            "http://localhost:8080/actuator/sbom",
            SbomListResponse::class.java
        )
        return ResponseEntity.ok(response.body)
    }
}

data class SbomListResponse(
    val ids: List<String> // 可用的SBOM标识符列表
)

响应示例：

json

{
  "ids": ["application"]
}

TIP

通常情况下，Spring Boot 应用会有一个名为 "application" 的默认 SBOM，它包含了整个应用程序的依赖信息。

2. 获取具体的 SBOM 详情

当我们知道了可用的 SBOM ID 后，就可以获取详细的物料清单信息：

curl 请求Kotlin 安全审计服务

bash

curl 'http://localhost:8080/actuator/sbom/application' -i -X GET

kotlin

@Service
class SecurityAuditService {
    
    @Autowired
    private lateinit var restTemplate: RestTemplate
    
    /**
     * 获取应用程序的完整SBOM信息
     * 用于安全漏洞扫描和合规性检查
     */
    fun getApplicationSbom(): SbomDocument {
        val response = restTemplate.getForEntity(
            "http://localhost:8080/actuator/sbom/application",
            SbomDocument::class.java
        )
        
        return response.body ?: throw RuntimeException("无法获取SBOM信息")
    }
    
    /**
     * 分析SBOM中的安全风险
     */
    fun analyzeSecurityRisks(sbomId: String): SecurityAnalysisResult {
        val sbom = getApplicationSbom()
        
        // 检查已知的安全漏洞数据库
        val vulnerableComponents = sbom.components?.filter { component ->
            isVulnerable(component.name, component.version) 
        } ?: emptyList()
        
        return SecurityAnalysisResult(
            totalComponents = sbom.components?.size ?: 0,
            vulnerableComponents = vulnerableComponents.size,
            riskLevel = calculateRiskLevel(vulnerableComponents.size)
        )
    }
    
    private fun isVulnerable(name: String, version: String): Boolean {
        // 这里可以集成CVE数据库或其他安全漏洞数据源
        // 实际实现中会查询安全漏洞数据库
        return false // 简化示例
    }
    
    private fun calculateRiskLevel(vulnerableCount: Int): String {
        return when {
            vulnerableCount == 0 -> "LOW"
            vulnerableCount < 5 -> "MEDIUM"
            else -> "HIGH"
        }
    }
}

// SBOM文档数据结构（基于CycloneDX格式）
data class SbomDocument(
    val bomFormat: String,           // SBOM格式（如：CycloneDX）
    val specVersion: String,         // 规范版本
    val serialNumber: String,        // 序列号
    val version: Int,                // 版本号
    val components: List<Component>? // 组件列表
)

data class Component(
    val name: String,        // 组件名称
    val version: String,     // 组件版本
    val type: String,        // 组件类型（library, framework等）
    val licenses: List<License>? // 许可证信息
)

data class License(
    val id: String?,    // 许可证ID（如：Apache-2.0）
    val name: String?   // 许可证名称
)

data class SecurityAnalysisResult(
    val totalComponents: Int,      // 总组件数
    val vulnerableComponents: Int, // 存在漏洞的组件数
    val riskLevel: String         // 风险等级
)

响应示例（CycloneDX 格式）：

json

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "serialNumber": "urn:uuid:13862013-3360-43e5-8055-3645aa43c548",
  "version": 1,
  "components": [
    {
      "type": "library",
      "name": "spring-boot-starter-web",
      "version": "3.2.0",
      "licenses": [
        {
          "id": "Apache-2.0"
        }
      ]
    }
  ]
}

实际业务应用场景

场景1：自动化安全扫描 🔍

kotlin

@Component
class AutomatedSecurityScanner {
    
    @Scheduled(cron = "0 0 2 * * ?") // 每天凌晨2点执行
    fun performDailySecurityScan() {
        try {
            val sbom = securityAuditService.getApplicationSbom()
            val analysisResult = securityAuditService.analyzeSecurityRisks("application")
            
            if (analysisResult.riskLevel == "HIGH") {
                // 发送告警通知
                sendSecurityAlert(analysisResult) 
            }
            
            // 记录扫描结果
            logSecurityScanResult(analysisResult)
            
        } catch (e: Exception) {
            logger.error("安全扫描失败", e)
        }
    }
    
    private fun sendSecurityAlert(result: SecurityAnalysisResult) {
        // 发送邮件、短信或集成到监控系统
        logger.warn("发现高风险安全漏洞：${result.vulnerableComponents} 个组件存在安全问题")
    }
}

场景2：合规性检查 📋

kotlin

@Service
class ComplianceService {
    
    /**
     * 检查许可证合规性
     */
    fun checkLicenseCompliance(): ComplianceReport {
        val sbom = securityAuditService.getApplicationSbom()
        val nonCompliantComponents = mutableListOf<Component>()
        val allowedLicenses = setOf("Apache-2.0", "MIT", "BSD-3-Clause")
        
        sbom.components?.forEach { component ->
            val hasAllowedLicense = component.licenses?.any { license ->
                allowedLicenses.contains(license.id)
            } ?: false
            
            if (!hasAllowedLicense) {
                nonCompliantComponents.add(component) 
            }
        }
        
        return ComplianceReport(
            isCompliant = nonCompliantComponents.isEmpty(),
            nonCompliantComponents = nonCompliantComponents,
            totalComponents = sbom.components?.size ?: 0
        )
    }
}

data class ComplianceReport(
    val isCompliant: Boolean,
    val nonCompliantComponents: List<Component>,
    val totalComponents: Int
)

配置和最佳实践

启用 SBOM 端点

application.yml安全配置

yaml

management:
  endpoints:
    web:
      exposure:
        include: sbom  # 启用SBOM端点
  endpoint:
    sbom:
      enabled: true    # 确保端点已启用

kotlin

@Configuration
@EnableWebSecurity
class ActuatorSecurityConfig {
    
    @Bean
    fun securityFilterChain(http: HttpSecurity): SecurityFilterChain {
        http
            .authorizeHttpRequests { requests ->
                requests
                    .requestMatchers("/actuator/health").permitAll()
                    .requestMatchers("/actuator/sbom/**").hasRole("SECURITY_ADMIN") 
                    .anyRequest().authenticated()
            }
        
        return http.build()
    }
}

WARNING

SBOM 信息可能包含敏感的应用程序架构信息，建议在生产环境中限制访问权限，只允许安全管理员或自动化安全工具访问。

集成到 CI/CD 流水线

kotlin

// 在构建过程中生成SBOM报告的示例
@Component
class CiCdIntegrationService {
    
    fun generateSbomReport(): String {
        val sbom = securityAuditService.getApplicationSbom()
        val complianceReport = complianceService.checkLicenseCompliance()
        
        return buildString {
            appendLine("=== SBOM 安全报告 ===")
            appendLine("总组件数: ${sbom.components?.size ?: 0}")
            appendLine("合规状态: ${if (complianceReport.isCompliant) "✅ 通过" else "❌ 不合规"}")
            
            if (!complianceReport.isCompliant) {
                appendLine("\n不合规组件:")
                complianceReport.nonCompliantComponents.forEach { component ->
                    appendLine("- ${component.name}:${component.version}") 
                }
            }
        }
    }
}

总结

TIP

Spring Boot Actuator 的 SBOM 端点为我们提供了一个强大的工具来增强应用程序的安全性和合规性。通过定期检查和分析 SBOM 信息，我们可以：

✅ 提前发现安全漏洞：及时了解依赖库的安全状态
✅ 确保许可证合规：避免使用不兼容的开源许可证
✅ 增强供应链透明度：清楚了解应用程序的组成
✅ 自动化安全流程：集成到 CI/CD 流水线中进行自动化检查

SBOM 不仅仅是一个技术工具，更是现代软件开发中不可或缺的安全实践。它帮助我们构建更安全、更可靠的应用程序，在日益复杂的软件供应链环境中保护我们的业务和用户。

INFO

在实际项目中，建议将 SBOM 检查集成到开发流程的各个阶段：开发期间的依赖选择、构建时的安全扫描、部署前的合规检查，以及运行时的持续监控。

原生镜像

容器镜像

Spring Boot Actuator SBOM 端点详解 📦

什么是 SBOM？为什么我们需要它？

🤔 没有 SBOM 会遇到什么问题？

Spring Boot Actuator SBOM 端点

核心功能架构

实际应用场景

1. 获取可用的 SBOM 列表

2. 获取具体的 SBOM 详情

实际业务应用场景

场景1：自动化安全扫描 🔍

场景2：合规性检查 📋

配置和最佳实践

启用 SBOM 端点

集成到 CI/CD 流水线

总结

Spring Boot Actuator SBOM 端点详解 📦 ​

什么是 SBOM？为什么我们需要它？ ​

🤔 没有 SBOM 会遇到什么问题？ ​

Spring Boot Actuator SBOM 端点 ​

核心功能架构 ​

实际应用场景 ​

1. 获取可用的 SBOM 列表 ​

2. 获取具体的 SBOM 详情 ​

实际业务应用场景 ​

场景1：自动化安全扫描 🔍 ​

场景2：合规性检查 📋 ​

配置和最佳实践 ​

启用 SBOM 端点 ​

集成到 CI/CD 流水线 ​

总结 ​

Spring Boot Actuator SBOM 端点详解 📦

什么是 SBOM？为什么我们需要它？

🤔 没有 SBOM 会遇到什么问题？

Spring Boot Actuator SBOM 端点

核心功能架构

实际应用场景

1. 获取可用的 SBOM 列表

2. 获取具体的 SBOM 详情

实际业务应用场景

场景1：自动化安全扫描 🔍

场景2：合规性检查 📋

配置和最佳实践

启用 SBOM 端点

集成到 CI/CD 流水线

总结