aquasecurity/trivy

enhancement(cyclonedx): use `component.evidence.occurrences.location` for filapaths and linenumber

Open

#9,832 opened on 2025年11月20日

GitHub で見る
 (1 comment) (1 reaction) (0 assignees)Go (371 forks)batch import
help wanted

Repository metrics

Stars
 (35,000 stars)
PR merge metrics
 (平均マージ 5d 2h) (30d で 53 merged PRs)

説明

Description

In CycloneDX 1.5, the location and line fields were added under component.evidence.occurrences. These are fields we can use in Trivy:

  1. location can be used instead of property.filePath
  2. line can be used if Trivy supports detecting line numbers for that file

Example:

https://github.com/CycloneDX/cyclonedx-go/blob/72e4629d580624c7d6bd815e2d209a0a62d08047/testdata/valid-evidence.json#L74-L77

Discussed in https://github.com/aquasecurity/trivy/discussions/9823

コントリビューターガイド

調査方針
CycloneDX 1.5 の evidences occurrences スキーマを調査し、Trivy が現在 property.filePath を使用している場所を特定します。location フィールドと line フィールドで置き換えるか補完する方法を決定し、後方互換性を確保します。
技術スタック
go
領域
securitycli
Issue 種別
機能
難度新しい貢献者にとっての実装難度です。1 は非常に小さな変更、5 は専門的な作業です。
3
推定時間経験ある貢献者が調査、実装、テスト、pull request 準備にかけるおおよその時間範囲です。
半日
活動状況Issue が今どれだけ取り組みやすいかを示します。新しい、活発、古い、ブロック中、またはメンテナー入力待ちなどです。
アクティブ
明確さ期待される変更、受け入れ条件、次の手順がどれだけ明確かを示します。
明確
前提条件
GoCycloneDXSBOM
初心者向け度初回貢献者にどれだけ取り組みやすいかを 1-100 で推定したスコアです。
55