SBOM号称软件清单，实际却像同人小说

你信得过的软件物料清单（SBOM），可能只是一篇"同人小说"。SBOM本该是软件依赖的精确记录，但作者指出，现实中它往往被手动编造、靠扫描器猜测拼凑，和真实构建产物之间的偏差大得离谱。这就好比粉丝自己写的主角番外——读起来像那么回事，却没人负责核实每个字。监管合规场景里，拿一份失真SBOM去应付审计，风险远超想象。我的判断很直接：没有可追溯的构建证据链，SBOM就只是自我安慰。

原文：Your SBOM Is Fan Fiction · 来源：Hacker News