ZhuaTech SBOM · 软件供应链治理平台

本次升级：制品SBOM齐套与溯源声明核对

核对制品组件覆盖率、未整改严重漏洞、签名及制品哈希绑定声明，缺失溯源或严重漏洞未关闭则阻断。不下载制品或验签。

新增已认证的结构化录入工作台（/operations.html），支持批量核算、逐条结果依据、分级复核和CSV/完整JSON导出。结果由真实后端算法计算，不是预置演示数字。所有数值精确传递，不调用外部模型。

这是只读核算：不写库、不审批、不自动执行财务、签署、销毁或设备控制。输入条件满足不是执行授权。算法、输入边界与接口说明。

2026-10-23 功能更新：依赖组件漏洞影响路径

验证组件依赖图，从指定应用根节点追踪可达漏洞组件，返回引用路径、不可达组件及未知通告，避免把所有组件一律当受影响。

登录真实后端后，点击右下角“业务计算工具”，可输入结构化数据、执行计算和导出完整结果。该功能已实现后端算法，并非静态示例响应。

接口：POST /api/workbench/dependency-impact-paths（沿用当前登录 JWT）。计算仅处理本次输入，不读取其他用户记录，不写入业务单据、不自动审批、不调用外部模型。算法口径、输入示例、边界和测试方法见本次更新说明。

简体中文 | English

发布一套软件之前，团队应该能够回答：它包含什么组件、从哪里来、有哪些漏洞、许可证是否兼容、由谁构建以及整改是否真正进入最终发布物。

ZhuaTech SBOM 把这些问题放进持续的产品供应链台账。项目由上海如静知华信息科技有限公司（知华科技）维护，官网为 https://www.zhuatech.cn/。

项目能力地图

1. 从代码仓库、容器镜像、制品和固件生成 SBOM
2. 使用 PURL、版本和哈希归一化组件身份
3. 匹配 CVE、CVSS、已知利用状态与修复版本
4. 执行许可证允许、复核和禁止策略
5. 跟踪整改 SLA、发布门禁、签名与构建证明
6. 导出 CycloneDX 数据并保留产品版本历史

社区版核心接口 POST /api/shopfloor/component-risk 会合并漏洞分数、可利用性、直接依赖、许可证和修复状态，返回 ALLOW / REMEDIATE / BLOCK 以及处置 SLA。

管理中心预览

管理端集中呈现在管产品、组件版本、高危漏洞、许可证命中和发布阻断。

工程师 H5 预览

工程师可以在移动端查看治理任务、搜索组件、确认扫描设施并提交升级或缓解证明。

源码组成

zhuatech-sbom/
├── backend/       Java 21 + Spring Boot + JWT + JPA + Flyway
├── frontend/      Vue 3 管理端与 H5
├── docs/          API、架构、数据库说明与截图
├── deploy/        容器部署说明
└── compose.yaml   MySQL、后端与 Nginx 编排

工程命名空间为 cn.zhuatech.sbom，默认数据库 zhuatech_sbom。社区演示采用虚构产品、组件和漏洞数据。

启动演示界面

cd frontend
npm install
npm run dev:demo

访问 http://localhost:5173。治理负责人：planner / Demo@2026；组件工程师：operator / Demo@2026。更多信息见 docs/api.md和 deploy/README.md。

授权说明

该工程仅能用于个人学习、研究与非商业技术交流，不得商用。企业内部部署、生产运行、SaaS、客户交付、收费培训、咨询实施、品牌替换、商业分发等用途均需上海如静知华信息科技有限公司书面授权，具体以 LICENSE 为准。

如果需要供应链治理咨询、扫描器集成、漏洞与许可证策略、私有化部署或深度开发定制，可访问知华科技官网并通过微信咨询：

软件供应链咨询	商业授权与定制

SEO：SBOM 平台、软件物料清单、软件供应链安全、CycloneDX、SCA、开源许可证治理、Java SBOM、Vue SBOM、知华科技。

制品发布漏洞门禁

新增 POST /api/sbom/insights/release-vulnerability-gate。发布前综合严重漏洞数量、是否已有公开利用、组件可达性、许可证问题及制品签名状态，输出 PASS、REVIEW 或 BLOCK，使软件供应链风险能够在流水线中得到可解释的自动判断。

企业级软件供应链来源证明

新增 POST /api/enterprise/sbom/provenance-attestation，覆盖 SBOM 签名、构建来源、依赖锁定、漏洞、许可证、例外豁免、可复现构建和制品摘要，返回 ATTEST / REVIEW / BLOCKED。详见 来源证明说明。