CycloneDX — второй распространённый формат перечня состава программного продукта. Ведут его OWASP (Open Worldwide Application Security Project — открытое сообщество по безопасности приложений) и технический комитет TC54 организации Ecma International; принят как стандарт ECMA-424.
Чем отличается от SPDX
Оба описывают состав продукта, и выбор между ними обычно решается тем, ради чего перечень заводят.
| SPDX | CycloneDX | |
|---|---|---|
| откуда родом | лицензионный комплаенс | безопасность цепочки поставок |
| сильная сторона | точное описание лицензий | уязвимости, применимость уязвимости к продукту, состав моделей и оборудования |
| статус | ISO/IEC 5962:2021 | ECMA-424 |
Форматы не враждуют: CycloneDX пользуется лицензионными идентификаторами SPDX.