当前位置：首页 > news >正文

如何快速部署xlin-sbom？Docker Compose零依赖安装指南

news 2026/7/6 8:35:57

如何快速部署xlin-sbom？Docker Compose零依赖安装指南

【免费下载链接】xlin-sbomAllowing rapid and accurate scanning of Linux system ISO image files and RPM software packages to identify and generate a Software Bill of Materials (SBOM), ensuring the security of the software supply chain.项目地址: https://gitcode.com/openeuler/xlin-sbom

前往项目官网免费下载：https://ar.openeuler.org/ar/

xlin-sbom是一款强大的软件物料清单（SBOM）生成工具，专为快速扫描Linux系统ISO镜像文件、Docker镜像和RPM软件包而设计。通过自动化扫描分析，它能准确识别软件供应链中的组件信息，生成符合行业标准的SBOM报告，为您的软件安全保驾护航。本文将为您提供一份完整的Docker Compose零依赖安装指南，让您轻松上手使用这款专业的SBOM扫描工具。

📦 系统要求与准备工作

环境要求

在开始部署之前，请确保您的系统满足以下最低配置：

组件	最低版本	推荐版本
Docker	18.09.1+	20.10+
Docker Compose	1.27.0+	2.0+
内存	4 GB	8 GB
磁盘空间	10 GB	20 GB

获取项目代码

首先，克隆xlin-sbom项目到本地：

git clone https://gitcode.com/openeuler/xlin-sbom.git cd xlin-sbom

🚀 Docker Compose一键部署方案

xlin-sbom采用容器化交付方式，通过Docker Compose实现零依赖安装，无需手动配置复杂的Python环境。这是最简单、最可靠的部署方式。

1. 查看项目结构

进入项目目录后，您会看到以下关键文件：

docker-compose.yml - Docker Compose配置文件
dockerfile - Docker镜像构建文件
linx-xiling.py - 主程序入口
requirements.txt - Python依赖列表

2. 构建并启动容器

执行以下命令构建并启动xlin-sbom容器：

docker compose up --build

或者，如果您使用的是Docker Compose V1：

docker-compose up --build

3. 验证安装

构建完成后，您可以通过以下命令验证容器是否正常运行：

docker compose ps

您应该能看到名为linx-xiling的服务正在运行。

🎯 快速上手：四种扫描模式详解

xlin-sbom支持四种强大的扫描模式，满足不同场景下的SBOM生成需求。

模式一：ISO镜像扫描

扫描本地ISO镜像文件，自动识别其中的RPM或DEB软件包：

docker compose run --rm linx-xiling -i /app/data/<镜像文件.iso> -o /app/output

模式二：单个软件包扫描

支持多种格式的软件包文件扫描：

二进制包：.rpm、.deb
RPM源码包：.src.rpm
源码归档：.tar.gz、.tgz、.tar.bz2、.zip
Debian源码描述文件：.dsc

docker compose run --rm linx-xiling -p /app/data/<软件包文件> -o /app/output

模式三：Docker镜像扫描

扫描Docker Hub公共镜像或离线镜像文件：

# 扫描在线镜像 docker compose run --rm linx-xiling -d debian:bookworm-slim -o /app/output # 扫描离线镜像 docker compose run --rm linx-xiling -d /app/data/linx-xiling_1.0.0.tar -o /app/output

模式四：软件源扫描

扫描YUM/DNF或APT软件源URL，解析仓库元数据：

docker compose run --rm linx-xiling -r https://mirrors.example.com/centos/8-stream/BaseOS/x86_64/os/ -o /app/output

📊 输出格式配置

xlin-sbom支持两种SBOM输出格式，您可以根据需求灵活选择：

默认双格式输出

默认情况下，工具会同时生成Linx格式和SPDX格式：

docker compose run --rm linx-xiling -p /app/data/example.rpm -o /app/output

单格式输出

如果只需要特定格式，可以使用--format参数：

# 仅输出SPDX格式 docker compose run --rm linx-xiling -p /app/data/example.rpm -o /app/output --format spdx # 仅输出Linx格式 docker compose run --rm linx-xiling -p /app/data/example.rpm -o /app/output --format linx

格式说明

Linx格式：输出到目录中，按清单类型拆分为多个JSON文件
SPDX格式：输出为单个SPDX 2.3 JSON文件

🔧 高级配置与优化

并发处理优化

通过调整工作线程数来提高扫描效率：

docker compose run --rm linx-xiling -p /app/data/example.rpm -o /app/output --max-workers 8

源码包扫描配置

对于源码包扫描，您可以使用过滤选项：

# 仅包含特定文件模式 docker compose run --rm linx-xiling -p /app/data/source.tar.gz -o /app/output --include "*.py" --include "*.js" # 排除特定文件模式 docker compose run --rm linx-xiling -p /app/data/source.tar.gz -o /app/output --exclude "*.log" --exclude "*.tmp"

多架构Docker镜像支持

扫描特定平台的Docker镜像：

docker compose run --rm linx-xiling -d debian:bookworm-slim -o /app/output --platform linux/arm64

🛠️ 常见问题解决指南

问题1：Docker Compose命令错误

如果系统提示docker: 'compose' is not a docker command，请使用V1版本的命令：

docker-compose run --rm linx-xiling [参数]

问题2：输出目录权限问题

确保宿主机上的输出目录具有写入权限：

mkdir -p ./output chmod 755 ./output

问题3：网络连接失败

扫描软件源时如果遇到网络问题，可以在docker-compose.yml中配置网络设置或使用代理。

问题4：Docker镜像包系统识别失败

某些Docker镜像（如scratch或distroless）可能不包含完整的包管理数据库，这种情况下无法生成系统包级SBOM。

📁 目录结构说明

了解项目目录结构有助于更好地使用xlin-sbom：

xlin-sbom/ ├── actions/ # 核心扫描逻辑模块 │ ├── scanner/ # 扫描器实现 │ ├── data_helper.py # 数据处理辅助 │ └── sbom_helper.py # SBOM生成辅助 ├── assist/ # 辅助数据文件 ├── tests/ # 测试用例 ├── docker-compose.yml # Docker Compose配置 ├── dockerfile # Docker镜像构建文件 ├── linx-xiling.py # 主程序入口 └── requirements.txt # Python依赖