aquasecurity/trivy

enhancement(cyclonedx): use `component.evidence.occurrences.location` for filapaths and linenumber

Open

#9 832 ouverte le 20 nov. 2025

Voir sur GitHub
 (0 commentaires) (1 réaction) (0 assignés)Go (371 forks)batch import
help wanted

Métriques du dépôt

Stars
 (35 000 stars)
Métriques de merge PR
 (Merge moyen 5j 2h) (53 PRs mergées en 30 j)

Description

Description

In CycloneDX 1.5, the location and line fields were added under component.evidence.occurrences. These are fields we can use in Trivy:

  1. location can be used instead of property.filePath
  2. line can be used if Trivy supports detecting line numbers for that file

Example:

https://github.com/CycloneDX/cyclonedx-go/blob/72e4629d580624c7d6bd815e2d209a0a62d08047/testdata/valid-evidence.json#L74-L77

Discussed in https://github.com/aquasecurity/trivy/discussions/9823

Guide contributeur

Direction de recherche
Étudiez le schéma des occurrences de preuves CycloneDX 1.5 et localisez où Trivy utilise actuellement property.filePath. Déterminez comment remplacer ou compléter avec les champs location et line, en assurant la rétrocompatibilité.
Stack technique
go
Domaine
securitycli
Type d'issue
Fonctionnalité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
GoCycloneDXSBOM
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
55