CycloneDX/sbom-utility

Add support for displaying/validating CDX Signature schema (struct)

Offen

#27 geöffnet am 19.05.2023

Auf GitHub ansehenContributor Guide
 (0 Kommentare) (1 Reaktion) (0 zugewiesene Personen)Go (20 Forks)auto 404
enhancementhelp wanted

Repository-Metriken

Stars
 (155 Sterne)
PR-Merge-Metriken
 (PR-Metriken ausstehend)

Beschreibung

i.e., add property Signature CDXSignaturejson:"signature,omitempty"to top-levelCDXBom` structure. Then support it with signing verification (validation) with testcases.

This will be a bit of a challenge as we may also need to implement JSF schema:

As referenced by the CycloneDX schema (external).

As we want the utility to work in a network-disconnected environment (e.g., a secure build pipeline), this would have to bring in a static encoding (marshal/unmarshal, etc.)

Contributor Guide

Research-Richtung
Fügen Sie das Feld 'signature' zur CDXBom Struktur hinzu und implementieren Sie dann die Signaturprüfung mit JSON Schema. Für den Offline Betrieb betten Sie das JSF Schema ein oder implementieren Sie eine statische Validierung. Beginnen Sie mit dem Studium der CycloneDX Signaturspezifikation und der vorhandenen Validierungsmuster im Projekt.
Tech Stack
go
Domain
backendsecurity
Issue Type
Funktion
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
1-2 Tage
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Meist klar
Voraussetzungen
GoJSONCycloneDX
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
40