aquasecurity/trivy

enhancement(cyclonedx): use `component.evidence.occurrences.location` for filapaths and linenumber

Open

#9.832 aberto em 20 de nov. de 2025

Ver no GitHub
 (0 comments) (1 reaction) (0 assignees)Go (371 forks)batch import
help wanted

Métricas do repositório

Stars
 (35.000 stars)
Métricas de merge de PR
 (Mesclagem média 5d 2h) (53 fundiu PRs em 30d)

Description

Description

In CycloneDX 1.5, the location and line fields were added under component.evidence.occurrences. These are fields we can use in Trivy:

  1. location can be used instead of property.filePath
  2. line can be used if Trivy supports detecting line numbers for that file

Example:

https://github.com/CycloneDX/cyclonedx-go/blob/72e4629d580624c7d6bd815e2d209a0a62d08047/testdata/valid-evidence.json#L74-L77

Discussed in https://github.com/aquasecurity/trivy/discussions/9823

Guia do colaborador

Direção de pesquisa
Estude o esquema de occurrences de evidência do CycloneDX 1.5 e localize onde o Trivy atualmente usa property.filePath. Determine como substituir ou complementar com os campos location e line, garantindo compatibilidade retroativa.
Pilha de tecnologia
go
Domain
securitycli
Tipo Issue
Funcionalidade
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
Meio dia
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GoCycloneDXSBOM
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
55