Оглавление [Скрыть]
Программный комплекс для обмена данными
-
Описание SPDX
- SPDX (Software Package Data Exchange) — открытый стандарт для описания систем с цифровыми компонентами.
- Изначально разработан для описания программных компонентов, но теперь охватывает модели ИИ, сборки ПО, данные о безопасности и другие пакеты данных.
- Позволяет отображать компоненты, лицензии, авторские права и другие метаданные.
-
История и развитие
- Первая версия была предназначена для улучшения соблюдения лицензионных требований.
- С тех пор расширен для поддержки прозрачности цепочки поставок и безопасности.
- Разработан сообществом под эгидой Linux Foundation.
- Принят международным стандартом ISO/IEC 5962:2021.
-
Структура и версии
- Версия 2.x определяет документ SBOM с метаданными о программном обеспечении.
- Версия 3.0 позволяет передавать информацию на более детализированном уровне.
- Модель данных основана на платформе RDF, данные могут быть сериализованы в различных форматах.
-
Профили SPDX 3.0
- Введены профили для поддержки различных вариантов использования.
- Восемь профилей: ядро, программное обеспечение, безопасность, сборка, ИИ, набор данных, лицензирование, Lite.
-
Идентификаторы лицензий
- Лицензии идентифицируются полным названием и коротким идентификатором.
- Лицензии могут быть объединены операторами И, ИЛИ и группироваться.
- Оператор “+” означает применение будущих версий лицензии.
-
Принятие и использование
- Идентификатор лицензии SPDX добавляется в начало файлов исходного кода.
- Используется в менеджерах пакетов, таких как npm, Python, Rust cargo.
- Применяется в метаданных пакета RPM в Fedora Linux.
-
Дополнительные ресурсы
- Официальный веб-сайт
- SPDX на GitHub
- Тематическое исследование SPDX на LWN.net