GB/T 47020-2026网络安全技术软件物料清单数据格式【免费下载】
#政策法规 ·2026-02-26 10:46:01
本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由全国网络安全标准化技术委员会（SAC/TC260)提出并归口。
本文件起草单位：水利部信息中心、国家能源局信息中心、中国科学院信息工程研究所、南方电网数字电网集团信息通信科技有限公司、西安交通大学、中国电子技术标准化研究院、中国铁道科学研究院集团有限公司电子计算技术研究所、杭州默安科技有限公司、中国信息通信研究院、天翼安全科技有限公司、华为技术有限公司、京东科技信息技术有限公司、阿里云计算有限公司、神州网信技术有限公司、深信服科技股份有限公司、蚂蚁科技集团股份有限公司、广西电网有限责任公司、中国建设银行股份有限公司、软安科技有限公司、杭州孝道科技有限公司、深圳开源互联网安全技术有限公司、杭州安恒信息技术股份有限公司、国家计算机网络应急技术处理协调中心、浙江省水利信息宣传中心、北京天融信网络安全技术有限公司、中兴通讯股份有限公司、中国南水北调集团东线有限公司、中国软件评测中心、重庆长安汽车股份有限公司、长江水利委员会网络与信息中心、麒麟软件有限公司、奇安信网神信息技术（北京）股份有限公司、国网思极网安科技（北京)有限公司、国家信息技术安全研究中心、南方电网科学研究院有限责任公司、水利部海河水利委员会、苏州棱镜七彩信息科技有限公司。
本文件主要起草人：付静、詹全忠、沈智镔、张潮、邹希、戴逸聪、吴桐、刘玉岭、姜政伟、姚叶鹏、范子静、刘家豪、王海军、刘烃、姚相振、王惠莅、张维伦、何娟、沈锡镛、孟瑾、满弘鹏、林谦、栗蔚、郭雪、吴江伟、方宇、梁伟、陈奎强、刘海军、郑伟娜、田凯、方强、牛明珠、孔勇、白晓媛、程岩、谢铭、曾明霏、陈德锋、吴猛、朱辉、吴菊华、徐锋、范丙华、王颉、汪杰、沈蓉芽、王会博、林星辰、魏杰、骆小龙、寇增杰、张金鑫、殷玲玲、杨旭、王新雷、袁薇、孙康健、李鹏、邓烨、李歆、王震、董国伟、张春光、李祉歧、张芝军、刘鸿运、徐传懋、杜金燃、宗华丽、梁大功、黄浩东。
1.范围
本文件规定了软件物料清单数据格式，包括软件物料清单组成、软件物料清单文件格式要求、软件物料清单元素以及软件物料清单中各元素的属性和属性值格式。
本文件适用于指导软件供应链相关方之间进行软件物料清单信息的生成、共享和使用。
2.规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GB/T25069-2022信息安全技术 术语
3.术语和定义
GB/T25069-2022界定的以及下列术语和定义适用于本文件。
3.1软件产品 software product
向用户提供的计算机软件、信息系统或设备中嵌入的软件或在提供计算机信息系统集成、应用服务等技术服务时提供的计算机软件。[来源：GB/T36475-2018,3.1.1]
3.2软件物料清单 software bill of materials
软件中所包含的所有组件、文件、开源代码片段的清单，以及软件内外部依赖关系和安全信息的描述。
注：软件物料清单包括软件基本信息、软件组成信息、外部依赖信息、安全信息和签名信息。
[来源：GB/T43698-2024,3.8,有修改]
3.3外部网络服务 external network service
通过网络为软件运行提供必要功能的非软件自身具备的应用服务。
注：外部网络服务包括域名服务、CDN服务、邮件发送、短信发送、消息推送、支付接口等服务。
3.4制品 artifact
由某一种软件开发或运维过程所使用的或产生的一种信息的物理件。
注：制品的实例有模型、源文件、文本和二进制可执行文件。制品构成可部署构件的实现。
[来源：GB/T42560-2023,3.1.1]
4.缩略语
下列缩略语适用于本文件。
HTTP:超文本传输协议（Hypertext Transfer Protocol)
JSON：JavaScript对象标记语言（JavaScript Object Notation)
RPC:远程过程调用协议（Remote Procedure Call Protocol)
RTP:实时传输协议（Real-Time Transport Protocol)
SBOMDF:软件物料清单数据格式（Software Bill of Materials Data Format)
SMTP:简单邮件传输协议（Simple Mail Transfer Protocol)
URL:统一资源定位符（Uniform Resource Locator）
UUID:通用唯一识别码（Universally Unique Identifier）
5.软件物料清单组成
软件物料清单由基本信息、软件组成信息、外部依赖信息、安全信息、扩展信息和签名信息六大类信息组成，每类信息包括若干软件物料清单元素(简称“元素”)。图1给出了软件物料清单的组成，其中：
a)基本信息：描述软件和软件物料清单的标识、来源等基本信息，包括：软件信息和清单信息；
b)软件组成信息：描述软件组成成分、成分来源及其依赖关系的信息，包括：组件信息、文件信息、代码片段信息和内部依赖信息；
c）外部依赖信息：
