[研究]比較 SBOM 和 第三方元件清單

[研究]比較 SBOM 和 第三方元件清單

2025-08-13

ChatGPT 說：

SBOM（Software Bill of Materials）和「第三方元件」是相關但不相同的概念，差別主要在於 範疇、用途、與呈現方式。我幫你用結構化方式整理如下：

項目	SBOM（軟體材料清單）	第三方元件
概念	一份完整清單，列出軟體中所有組成部分（包括自研、開源、商用、甚至間接依賴），就像食品的成分表。	指軟體開發中使用的非自家開發的軟體模組、函式庫或服務，通常來自開源社群或商業供應商。
範圍	包含第一方（自研）、第二方（客戶專屬）、第三方（外部供應）所有組件及其依賴關係。	只針對外部來源的組件（第三方軟體、外包代碼、開源庫）。
呈現方式	標準化格式（如 SPDX、CycloneDX、SWID），包含名稱、版本、授權、供應商、依賴關係、檔案雜湊值等。	沒有固定格式，可能只是一份列表（Excel、README、工具掃描結果）列出使用的外部套件名稱與版本。
資訊豐富度	會記錄所有軟體組件來源與關聯，方便做漏洞追蹤與合規檢查。	主要是用來管理或追蹤使用了哪些外部套件，不一定包含全部依賴、授權資訊。
資安	協助快速識別受影響的組件（如 Log4j 漏洞事件），方便做 CVE 修補與影響評估。	通常只知道用了哪些第三方套件，但不一定能即時對應到漏洞與依賴樹。
授權合規	可用來檢查整體授權狀況（GPL、MIT、Apache 2.0 等），避免授權衝突。	常需要額外工具去分析授權，否則容易漏掉間接依賴的授權風險。
供應鏈透明度	讓客戶、合作夥伴知道軟體組成，符合如美國行政命令 14028 的供應鏈安全要求。	側重於開發團隊內部使用，不一定對外公開。

(完)