aquasecurity/trivy

enhancement(cyclonedx): use `component.evidence.occurrences.location` for filapaths and linenumber

Open

#9832 aperta il 20 nov 2025

Vedi su GitHub
 (0 commenti) (1 reazione) (0 assegnatari)Go (371 fork)batch import
help wanted

Metriche repository

Star
 (35.000 star)
Metriche merge PR
 (Merge medio 5g 2h) (53 PR mergiate in 30 g)

Descrizione

Description

In CycloneDX 1.5, the location and line fields were added under component.evidence.occurrences. These are fields we can use in Trivy:

  1. location can be used instead of property.filePath
  2. line can be used if Trivy supports detecting line numbers for that file

Example:

https://github.com/CycloneDX/cyclonedx-go/blob/72e4629d580624c7d6bd815e2d209a0a62d08047/testdata/valid-evidence.json#L74-L77

Discussed in https://github.com/aquasecurity/trivy/discussions/9823

Guida contributor

Direzione di ricerca
Studia lo schema delle evidenze occurrence di CycloneDX 1.5 e individua dove Trivy attualmente utilizza property.filePath. Determina come sostituire o integrare con i campi location e line, garantendo la retrocompatibilità.
Tech stack
go
Dominio
securitycli
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Mezza giornata
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
GoCycloneDXSBOM
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
55