
本系列此前讲过 CBOM 的概念：密码物料清单（CBOM）回答「这个项目用了哪些密码算法、用在哪里」。本篇发工具——盘点本身。

## 一条命令

输出是 CycloneDX 1.6 格式的 CBOM JSON。每个算法条目带 `cryptoProperties`（资产类型、密码原语、量子安全等级）和 `evidence.occurrences`（文件路径加行号，单算法上限 50 处，去重）。

检测两个来源：

1. `package.json` 依赖——查规则表（`@noble/post-quantum`、`sm-crypto` 这类包名）。
2. 源码——对 `.js`/`.cjs`/`.mjs`/`.ts`/`.tsx`/`.jsx` 做模式匹配（`crypto.createHash('sha3-256')` 这类调用）。

## 实测

扫 fibemate 主仓（PQC 全栈平台，算法横跨 ML-KEM/ML-DSA/SLH-DSA、SM2/3/4、SHA-2/SHA-3/Keccak）：

- 检出 13 个组件，CycloneDX 1.6。
- 耗时：首扫 884ms，后续两次 524ms / 559ms（2026-09-27 连续三次实测）。

发布物两个：

- npm：`cbom-tools@0.1.0`（`npm view cbom-tools` 可查）。
- GitHub Release：tag `cbom-tools-v0.1.0`，asset `cbom-tools-0.1.0.tgz`，10,996 字节（Release API 核验：2026-09-26T23:30:21Z 发布）。

## diff：迁移的前后对照

盘点只是起点。CBOM 的日常用法是 diff——迁移前后各扫一次，算法增删一目了然：

退出码三条：
- `0`：无变化。
- `1`：有变化。
- `2`：文件缺失或解析错误。

放进 CI 就是密码资产的守门规则——依赖升级悄悄换掉哈希算法这类事，diff 第一时间报。

> 不提供密码操作——没有 keygen、encrypt、sign。
> 不读取、不验证密钥、证书、签名。
> 不构成合规证书或审计。

全部信息来自 CycloneDX SBOM 规范和公开算法参数，纯静态模式匹配，不做任何密码计算。扫描器读你的代码，不碰你的密钥。

## 工程面

- 零外部依赖，纯 Node.js，`npm install -g` 即用。
- 许可 Apache-2.0，与主仓 fibemate 的 GPL-3.0 是两个仓库两套许可，商用项目可直接用。
- 仓库：`github.com/Lennonhaha/fibemate-tools`，`cbom-tools/` 子目录。

规则表当前覆盖 KEM、签名、哈希、对称四类原语，支持按源码规则扩展。国密和 NIST 后量子套件都在表内。

## 系列索引

前作讲为什么需要 CBOM；本篇解决「怎么扫、怎么 diff」。下一步是把 diff 挂进 CI 门禁，和 `verifact` 的事实核验、`xdiff` 的实现差分组成三条守门线。

---
*声明：本文由作者授权腾讯云开发者社区发布，未经许可，不得转载。*
*如有版权问题，请联系 `cloudcommunity@tencent.com` 删除。*


本系列此前讲过 CBOM 的概念：密码物料清单（CBOM）回答「这个项目用了哪些密码算法、用在哪里」。本篇发工具——盘点本身。

cbom-tools v0.1.0 发布：把密码学资产盘点做成一条命令

在后量子密码迁移与软件供应链安全中，密码物料清单（CBOM）是第一步。本文发布并介绍开源工具 cbom-tools v0.1.0。它能通过静态分析 package.json 和源码，极速生成标准的 CycloneDX 1.6 格式 JSON 清单。零依赖、纯本地运行不碰密钥，且完全开源商用友好。搭配 CI 流水线使用，实现密码资产变动的自动化守门。

人工智能

cbom-tools命令行工具一条命令生成CycloneDX 1.6格式CBOM JSON，自动扫描依赖与源码，检出13个组件含ML-KEM等PQC算法，支持diff模式及CI门禁集成，零依赖纯Node.js，Apache-2.0许可。

GitHub

国密

JSON

让每一个 Agent，都跑在云上

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

cbom-tools v0.1.0 发布：把密码学资产盘点做成一条命令-腾讯云开发者社区-腾讯云

cbom-tools v0.1.0 发布：把密码学资产盘点做成一条命令

cbom-tools v0.1.0 发布：把密码学资产盘点做成一条命令

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐