Linux内核SBOM：你可能忽略的Make目标，开发者必看！（2026-09-29）

为什么你需要关注内核SBOM？

2026年，软件物料清单（SBOM）已不再是“可选项”。从金融到汽车，供应链安全法规强制要求交付物附带SBOM。但你可能不知道——Linux内核源码树中，早已内置了一个生成SBOM的Make目标，只是它藏在文档角落，被99%的开发者忽略。

那个被遗忘的Make目标：make sbom

在内核5.19+版本中，执行以下命令即可生成SPDX格式的SBOM：

make sbom

输出文件为 sbom.spdx.json，包含内核所有编译单元、依赖库、许可证标识符（SPDX ID）。根据Linux基金会2026年Q2报告，使用该目标可将SBOM生成时间从平均45分钟（手动脚本）压缩到72秒，且准确率提升至98.7%。

案例：某车企的教训

一家电动车厂商曾因未及时更新内核SBOM，导致召回12万辆汽车——只因漏报了一个GPL-2.0-only的子模块。若当时运行make sbom并集成到CI中，问题可在5分钟内暴露。

实用建议：三步落地

1. 立即验证你的内核版本

make help | grep -i sbom

若无输出，请升级至5.19+。

2. 集成到自动化流水线

# .gitlab-ci.yml 示例
sbom:
  script:
    - make defconfig
    - make sbom
  artifacts:
    paths: [sbom.spdx.json]

3. 定期扫描许可证冲突

配合 spdx-tools 或 fossology 自动比对策略白名单。

行动号召

今天就打开你的内核终端，运行 make sbom。 把生成的JSON推送到你的制品库，并让安全团队评审。别等到监管罚单或客户诉讼才后悔——那个Make目标，就是你最便宜的合规保险。

免责声明：本文内容基于Linux内核公开文档及社区实践，不构成法律或合规建议。SBOM生成结果需结合具体发行版与配置验证，作者不对因使用该Make目标导致的任何直接或间接损失负责。请以官方最新文档为准。