أمان الاعتماديات وسلسلة البناء

{
  "artifact": "synthetic-web-build",
  "coverage": "illustrative-direct-and-build-inputs",
  "components": [
    {"label": "lab-runtime-library", "originReview": "complete", "supportReview": "complete"},
    {"label": "lab-build-plugin", "originReview": "pending", "supportReview": "complete"}
  ],
  "notARealSBOM": true
}

لا يثبت أو يفحص أو ينزل المثال حزمة، ووسومه مخترعة. يستخدم SBOM الفعلي معياره المختار ويصرح بالتغطية الحقيقية وربط الحزمة.

components = [
    {"label": "lab-runtime-library", "originReview": "complete", "supportReview": "complete"},
    {"label": "lab-build-plugin", "originReview": "pending", "supportReview": "complete"},
]
review = [item["label"] for item in components
          if item["originReview"] != "complete" or item["supportReview"] != "complete"]
assert review == ["lab-build-plugin"]

يعمل على سجلين مخترعين ويحدد فجوة تخطيط، لا ثغرة فعلية أو حزمة خبيثة. لا يستدعي مدير حزم أو أداة بناء أو فاحصاً أو سجلاً للحزم أو شبكة.