《自然资源领域软件物料清单(SBOM)规范》（征求意见稿）

本规范旨在为自然资源领域信息系统建立统一的软件物料清单（SBOM）数据标准，覆盖软件供应链中组件、依赖关系、许可证及安全信息的全要素描述。本规范适用于指导软件供应链相关方生成、共享和使用SBOM，以提升软件透明度与安全治理能力。本规范定义了由软件信息、清单信息、组件信息、开源代码片段信息、微服务信息、接口信息、补丁信息、内部关系信息、外部网络服务信息、供应商信息、许可证信息、数据信息及签名信息共13类元素构成的清单模型，并明确了清单文件的格式要求。

清单核心构成与数据模型

本规范构建了由13类信息元素组成的SBOM数据模型，全面描述软件的组成成分与内外部关系。其中，软件信息记录软件版本、类型、运行环境及开发方式等基础属性；组件与开源代码片段信息详细罗列软件所包含的第三方库及引入的开源代码，并载明其版本、来源和完整性校验值；微服务与接口信息描述分布式架构下的服务单元及其通信方式；内部关系信息则用于刻画组件与微服务间的依赖、调用和包含关系，清晰呈现软件架构蓝图。

法定字段规范与格式要求

本规范对清单数据字段的名称、数据类型及必要性（必选、可选或条件必选）作出了严格规定，确保不同应用场景下清单的一致性与可解析性。清单文件应采用JSON、XML等独立于编程语言的通用格式，支持层次化结构，其命名需包含软件名称与清单版本信息。同时，本规范要求通过数字签名和消息摘要机制保障清单自身的完整性，签名与数字证书文件须与SBOM同步交付。

面向多场景的按需剪裁机制

考虑到不同软件架构和管理需求的差异，本规范提供了灵活的元素选用指引。例如，微服务架构须提供微服务信息，单体架构则无需此项；涉及数据安全管理时，须在数据信息中说明所使用数据的名称、安全等级与约束条件；若涉及外部网络服务调用，则需标识其可替代性、服务地址及数据描述。本规范以资料性附录形式给出了面向常见架构与管理需求的元素必要性建议，指导实践者按需组合，确保清单既完整又不冗余。